PHP hai lỗ hổng nghiêm trọng có điểm CVSS đều đạt 9.2, SlowMist khuyến nghị các dự án Web3 nâng cấp ngay

Theo tin từ Odaily, nhóm bảo mật SlowMist đã công bố báo cáo cho biết hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 mới được PHP tiết lộ gần đây đang gây rủi ro cho cơ sở hạ tầng off-chain của ngành Web3. Điểm CVSS v4.0 của cả hai lỗ hổng đều là 9.2, kẻ tấn công không cần tài khoản mật khẩu hay API Key, chỉ cần gửi request được构造 đến dịch vụ PHP lộ ra Internet công cộng là có thể thực thi mã tùy ý với quyền của tiến trình dịch vụ web.

Lỗ hổng ảnh hưởng đến tất cả các phiên bản PHP từ 5.4 đến 8.5.11, và chi tiết lỗ hổng đã bị rò rỉ trước khi bản vá chính thức được phát hành. Nhóm tình báo mối đe dọa của Amazon đã quan sát thấy các nỗ lực khai thác thực tế 4 ngày trước khi công bố công khai. Hệ thống tình báo mối đe dọa MistEye của SlowMist quét cho thấy trong số 1488 tên miền liên quan đến tiền mã hóa được thống kê, có 793 tên miền mang dấu vân tay PHP trực tiếp, chiếm khoảng 53,3%.

Các cơ sở hạ tầng off-chain bị ảnh hưởng bao gồm trang frontend, giao diện API, trang nhận airdrop, backend vận hành và dịch vụ ví lưu ký của các dự án Web3. Nếu kẻ tấn công lợi dụng lỗ hổng PHP để chiếm được máy chủ trang web của dự án, chúng có thể sửa đổi trang frontend và dụ người dùng ký các giao dịch độc hại, từ đó đánh cắp tài sản.

Chính thức đã phát hành các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, các dự án liên quan nên nâng cấp lên phiên bản mới nhất tương ứng. PHP 8.1 và các phiên bản cũ hơn đã ngừng hỗ trợ thông thường từ phía上游, nên di chuyển càng sớm càng tốt. Các biện pháp giảm thiểu tạm thời được áp dụng khi không thể nâng cấp ngay chỉ có thể giảm rủi ro của các đường tấn công cụ thể, việc áp dụng bản vá vẫn là giải pháp triệt để.