核心摘要
慢雾安全团队于 10 月 23 日发布深度分析报告，指出 PHP 近期曝出的两个高危漏洞正对 Web3 行业的“链下环节”构成系统性风险。漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 评分均达到 9.2 分，属于严重级别。攻击者无需账号密码或 API Key，仅需向暴露在公网的 PHP 服务发送构造请求，即可尝试以 Web 服务进程权限执行任意代码。
正文解读
慢雾表示，漏洞影响 PHP 5.4 至 8.5.11 的全部版本，且漏洞细节在官方补丁发布前已经泄露。亚马逊威胁情报团队在公开披露前 4 天就已观测到实际利用尝试。根据慢雾威胁情报系统 MistEye 的扫描数据，在其统计的 1488 个加密相关域名中，有 793 个带有直接 PHP 指纹，占比约 53.3%。这意味着大量 Web3 项目的前端页面、API 接口、空投领取页、运营后台及托管钱包服务等链下设施，都可能运行在受影响的 PHP 环境上。
慢雾特别提示，Web3 安全不能只盯着链上合约。攻击者若利用 PHP 漏洞攻陷项目网站服务器，可以篡改前端页面并诱导用户对恶意交易签名，从而直接盗取资产。链上合约即使没有漏洞，也不代表围绕合约运转的链下环节是安全的。
原创文章，作者：admin，如若转载，请注明出处：https://www.23btc.com/%e6%85%a2%e9%9b%be%e6%b7%b1%e5%ba%a6%e5%89%96%e6%9e%90php%e9%ab%98%e5%8d%b1%e6%bc%8f%e6%b4%9e%e5%a8%81%e8%83%81web3%e9%93%be%e4%b8%8b.htm
