PHP严重漏洞令Web3基础设施面临风险
两项严重的PHP漏洞CVE-2026-109618和CVE-2026-109619的CVSS v4.0评分均为9.2，可能允许攻击者在无需身份验证的情况下，对暴露在公网的PHP服务远程执行代码。亚马逊蜜罐最早于10月17日发现疑似利用尝试；漏洞细节在PHP团队于10月21日提前发布紧急补丁前已经泄露。
漏洞影响PHP 5.4至8.5.11版本。慢雾扫描的1,488个加密相关域名中，有793个显示出直接PHP指纹，约占53.3%；这只能说明相关网站使用PHP，并不代表已确认存在漏洞或遭到入侵。面临风险的Web3链下设施可能包括网站、API、空投页面、管理后台、支付集成和托管钱包服务。服务器遭入侵可能导致凭证泄露，或使网页被篡改以诱骗用户签署恶意交易，但不会直接攻破智能合约、钱包或私钥。
PHP已发布8.2.35、8.3.36、8.4.27和8.5.12修复版本。项目应尽快升级、检查暴露系统，并在怀疑遭入侵时轮换凭证。PHP 8.1及更早版本应迁移至受支持版本。临时措施或可减少部分攻击路径，但彻底修复仍需安装补丁。风险主要涉及Web3链下安全；现有报道并未证实加密资产已经因此损失，也不支持仅因这些漏洞而撤出资产。
中性
这些漏洞给Web3企业带来严重的运营风险，但报道没有指出任何特定加密货币，也没有提供资产损失或区块链协议受到直接影响的证据。因此，缺乏对某种代币作出明确方向性判断的依据，预计对加密货币价格的影响为中性。短期内，交易者可能因安全警报而保持谨慎，关注受影响平台并仔细核对交易提示。市场反应更可能局限于受影响的服务，而非引发加密资产估值的广泛变化。长期来看，若漏洞遭成功利用或确认发生资产损失，相关项目的信心可能减弱，其代币也可能面临抛售压力。及时安装补丁并妥善处置安全事件有助于限制风险。安全事件可能推高波动性，但仅凭网站使用PHP不能确认系统存在漏洞，现有报道也不足以认定资金或智能合约已遭入侵。