PHP兩項高危險漏洞CVSS評分均達9.2，慢霧建議Web3專案立即升級

Odaily星球日報訊 慢霧安全團隊發布報告稱，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 兩個高危險漏洞，正對 Web3 產業鏈下基礎設施構成風險。兩項漏洞的 CVSS v4.0 評分均為 9.2 分，攻擊者無需帳號密碼或 API Key，僅向暴露在公網的 PHP 服務發送構造請求，即可能以 Web 服務程序權限執行任意程式碼。

漏洞影響 PHP 5.4 至 8.5.11 的所有版本，且漏洞細節在官方補丁發布前已洩露。亞馬遜威脅情報團隊在公開披露前 4 天已觀測到實際利用嘗試。慢霧威脅情報系統 MistEye 掃描顯示，在統計的 1488 個加密相關網域中，有 793 個帶有直接 PHP 指紋，佔比約 53.3%。

受影響的鏈下設施包括 Web3 專案的前端頁面、API 接口、空投領取頁、營運後台及託管錢包服務等。攻擊者若利用 PHP 漏洞攻陷專案網站伺服器，可能竄改前端頁面並誘導用戶簽署惡意交易，從而盜取資產。

官方已發布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相關專案應升級至對應最新版。PHP 8.1 及更早版本已停止上游常規支援，應儘快遷移。無法立即升級時採取的臨時緩解措施只能降低特定攻擊路徑風險，應用補丁仍是徹底解決方案。