慢霧PHP漏洞報告：波及Web3鏈下基礎設施，項目方應立即升級至最新版

BlockBeats 消息，10 月 23 日，慢霧安全團隊發布 PHP 高位漏洞深度分析報告稱，PHP 近期曝出的兩個高危漏洞正對 Web3 行業的「鏈下環節」構成系統性風險。漏洞編號為 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 評分均達 9.2 分，屬於嚴重級別。攻擊者無需帳號密碼或 API Key，僅需向暴露在公網的 PHP 服務發送構造請求，即可能以 Web 服務進程權限執行任意代碼。

慢霧表示，漏洞影響 PHP 5.4 至 8.5.11 的所有版本，且漏洞細節在官方補丁發布前已洩露，亞馬遜威脅情報團隊在公開披露前 4 天已觀測到實際利用嘗試。慢霧威脅情報系統 MistEye 掃描顯示，在其統計的 1488 個加密相關域名中，有 793 個帶有直接 PHP 指紋，佔比約 53.3%。這意味著大量 Web3 項目的前端頁面、API 接口、空投領取頁、運營後台及託管錢包服務等鏈下設施，都可能運行在受影響 PHP 環境上。

慢霧特別提示，Web3 安全不能只盯著鏈上合約。攻擊者若利用 PHP 漏洞攻陷項目網站伺服器，可篡改前端頁面並誘導用戶對惡意交易簽名，從而直接盜取資產。鏈上合約即使沒有漏洞，也不代表圍繞合約運轉的鏈下環節是安全的。

修復方面，官方已發布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相關項目應立即升級；PHP 8.1 及更早版本已停止上游常規支持，應盡快遷移。慢霧同時提醒，無法立即升級時的臨時緩解措施只能降低特定攻擊路徑風險，應用補丁仍是徹底解決方案。