PHP 的重大漏洞使 Web3 基礎設施面臨風險

兩個嚴重的 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 評分均為 9.2，可能讓攻擊者在公開可存取的 PHP 服務上，無須驗證即可遠端執行程式碼。Amazon 的蜜罐系統早在 10 月 17 日就偵測到可能的漏洞利用嘗試。PHP 團隊於 10 月 21 日提早發布緊急修補程式之前，漏洞詳細資訊已經外洩。 漏洞影響 PHP 5.4 至 8.5.11 版本。SlowMist 在掃描的 1,488 個加密貨幣相關網域中，於 793 個發現明確的 PHP 使用特徵，約占 53.3%。這表示有使用 PHP，並不代表已確認暴露於漏洞或遭到入侵。可能面臨風險的 Web3 基礎設施包括網站、API、空投頁面、管理面板、付款整合功能，以及託管式錢包服務。伺服器遭入侵可能導致憑證外洩，或讓攻擊者竄改頁面，誘騙使用者簽署惡意交易；但不會直接危及智慧合約、錢包或私鑰。 已修補的版本為 PHP 8.2.35、8.3.36、8.4.27 和 8.5.12。各專案應盡快升級、調查對外暴露的系統，並在懷疑遭到入侵時更換憑證。PHP 8.1 及更舊版本應遷移至仍受支援的版本。暫時性的緩解措施或可減少部分攻擊途徑，但安裝修補程式才是徹底的解決方案。風險涉及鏈下 Web3 安全；報告並未證實有加密資產損失，也不代表僅因這些漏洞就需要提領資產。