漏洞概况

慢雾安全团队报告，PHP 近期披露 CVE-2026-109618 与 CVE-2026-109619 两个高危漏洞，CVSS v4.0 评分均为 9.2。

  • 攻击者无需账号密码或 API Key

  • 向公网暴露的 PHP 服务发送构造请求，即可以 Web 进程权限执行任意代码

  • 影响 PHP 5.4 至 8.5.11 全部版本

  • 漏洞细节在官方补丁发布前已泄露，亚马逊威胁情报团队在披露前 4 天已观测到利用尝试


Web3 风险面

慢雾 MistEye 扫描 1488 个加密相关域名，其中 793 个带直接 PHP 指纹，占比约 53.3%。

受影响链下设施包括前端页面、API 接口、空投领取页、运营后台及托管钱包服务。攻击者攻陷服务器后可篡改前端，诱导用户签署恶意交易盗取资产。

处置建议

官方已发布 PHP 8.5.12、8.4.27、8.3.36、8.2.35，项目应升级至对应版本。PHP 8.1 及更早版本已停止上游常规支持，应尽快迁移。临时缓解措施仅降低特定攻击路径风险，打补丁仍是彻底方案。