PHP 두 가지 고위험 취약점의 CVSS 점수가 모두 9.2로 평가되어, SlowMist는 Web3 프로젝트에 즉시 업그레이드를 권고

Odaily 보도에 따르면, SlowMist 보안팀은 보고서를 발표하여 PHP에서 최근 공개된 CVE-2026-109618 및 CVE-2026-109619 두 고위험 취약점이 Web3 업계의 오프체인 인프라에 위험을 초래하고 있다고 밝혔다. 두 취약점의 CVSS v4.0 점수는 모두 9.2점으로, 공격자는 계정 비밀번호나 API Key 없이 공인 인터넷에 노출된 PHP 서비스에 조작된 요청을 전송하기만 하면 웹 서비스 프로세스 권한으로 임의 코드를 실행할 수 있다.

취약점은 PHP 5.4부터 8.5.11까지的所有 버전에 영향을 미치며, 취약점 세부 정보는 공식 패치가 발표되기 전에 이미 유출되었다. 아마존 위협 인텔리전스 팀은 공개披露 4일 전에 실제 악용 시도를 관측했다. SlowMist 위협 인텔리전스 시스템 MistEye 스캔结果显示, 통계된 1488개 암호화폐 관련 도메인 중 793개가 직접적인 PHP 지문을 보유하고 있어 약 53.3%를 차지했다.

영향을 받는 오프체인 시설에는 Web3 프로젝트의 프론트엔드 페이지, API 인터페이스, 에어드롭 수령 페이지, 운영 백엔드 및 커스터디 지갑 서비스 등이 포함된다. 공격자가 PHP 취약점을 이용해 프로젝트 웹사이트 서버를 장악할 경우 프론트엔드 페이지를 변조하여 사용자를 유도해 악성 거래에 서명하도록 함으로써 자산을 탈취할 수 있다.

공식은 이미 PHP 8.5.12, 8.4.27, 8.3.36 및 8.2.35 버전을 발표했으며, 관련 프로젝트는 해당 최신 버전으로 업그레이드해야 한다. PHP 8.1 및 이전 버전은 업스트림 정기 지원이 중단되었으므로 가능한 한 빨리 마이그레이션해야 한다. 즉시 업그레이드할 수 없는 경우 취할 수 있는 임시 완화 조치는 특정 공격 경로의 위험만 낮출 수 있으며, 패치 적용이 근본적인 해결책이다.