严重性评分为9.2的PHP安全漏洞促使区块链安全公司SlowMist敦促加密货币交易所、去中心化金融平台和钱包服务商检查其基础设施并安装紧急更新。PHP开发者于2026年10月21日发布补丁，修复了两个可能让未经身份验证的攻击者在受影响服务器上远程执行代码的漏洞。
要点
- PHP发布了四个修复版本，以处理两个漏洞；根据CVSS 4.0版的评分，这两个漏洞的严重性均为9.2。
- SlowMist敦促加密行业企业排查网站、接口及配套基础设施中PHP的暴露情况。
- 已演示的攻击并不能证明大型加密货币交易所或DeFi协议遭到大范围入侵或蒙受损失。
目录
PHP安全漏洞使暴露在外的服务器成为关注焦点
加密货币企业眼下面临的直接风险，来自其常规网络基础设施。根据平台配置，遭入侵的PHP后端可能暴露客户信息、管理界面、身份验证系统或运营凭证。
SlowMist敦促交易所、DeFi项目和钱包服务商识别受影响的部署并应用官方补丁。据报道，该公司在漏洞披露后使用其MistEye监控系统，检查加密货币基础设施中与PHP相关的暴露情况。
存在这一风险并不意味着，PHP服务器遭入侵就会自动让攻击者获得私钥、智能合约或客户资产的访问权限。后果取决于该服务器与敏感系统的连接情况，以及攻击者能够获得的权限。
紧急更新涵盖四个PHP版本
两个漏洞CVE-2026-109618和CVE-2026-109619根据通用漏洞评分系统（CVSS）4.0版的评分，严重性均为9.2。PHP开发者在8.5.12、8.4.27、8.3.36和8.2.35版本中修复了这些漏洞。包括不再受支持版本在内的旧版本也可能存在漏洞，需迁移至仍在维护的软件版本。
CVE-2026-109618涉及与请求清理期间内存耗尽处理有关的内存损坏问题。CVE-2026-109619则涉及全局状态保留了对先前请求所用内存的引用；如果该内存被重新使用，可能使攻击者得以利用漏洞。在易受攻击的配置下，这两个漏洞都可能允许远程代码执行。
PHP项目指出，使用PHP-FPM、Apache mod_php、php-cgi、FrankenPHP和LiteSpeed的互联网可访问部署可能受到影响。Apache mod_php尤其令人担忧，因为研究人员演示了一种攻击，可在应用层代码开始处理请求前执行。
此次紧急更新是在提前发出警告、并有报道称技术细节在原定披露时间之前已经传播之后发布的。PHP安全团队敦促立即更新，并警告称其他缓解措施无法提供全面保护。
国际警报区分安全暴露与已确认损失
欧盟网络安全局（ENISA）、欧盟网络安全应急响应小组（CERT-EU）和欧洲刑警组织欧洲网络犯罪中心联合建议各机构识别受影响系统并部署更新。英国国家网络安全中心建议优先处理暴露在外的系统；如无法立即修复，则考虑暂时关闭相关系统。
澳大利亚和加拿大的网络安全主管部门也发出了警告。研究人员已复现攻击，漏洞利用信息也已公开传播，但现有证据并不能证明大型加密货币交易所或DeFi协议因此遭受损失。
对于受影响的运营方，明确的优先事项是定位PHP部署、升级至受支持的已修补版本，并检查系统是否存在未经授权访问的迹象。
结论
这些警告的重点是修补暴露在外的PHP基础设施，并检查是否存在未经授权的活动。对加密平台而言，区分两者仍然十分重要：存在可被利用漏洞的网络服务器构成严重风险，但这并不代表资产损失已获确认。
阅读更多新闻
免责声明
本文由FinanceVelix发布，仅提供一般信息，不构成针对个人的财务、投资、法律或税务建议。市场价格、利率和经济状况可能发生变化；投资存在亏损风险。文中事实依据发布时可获得的资料，后续可能变化。请独立核实重要信息，并在需要时咨询合格的专业人士。提及任何资产、公司或服务均不构成推荐。
