PHP 高危漏洞爆发，加密用户资产如何自保？

据 Woofun AI 消息，10 月 21 日至 22 日， 与 相继发布关键安全更新，云部署平台 披露客户环境变量面临未授权访问风险，AI 网关 特定版本被植入恶意程序。创始人随即提醒用户，在未来几天访问网站时需格外谨慎，加密行业随即展开对前端网页、后台系统及链上自动执行服务的大规模排查。

尽管短时间内多起网络安全事件涉及不同软件与平台，但现有证据尚不足以将它们确认为同一条攻击链。 表示，在 PHP 漏洞正式披露前已观测到针对客户的攻击流量；荷兰国家网络安全中心也曾预防性关闭部分网站。日本首相高市早苗呼吁网站运营者准备安装 PHP 补丁，无法及时更新时可考虑临时停站。

然而，补丁的发布并不意味着所有网站已完成修复，风险依然存在。

PHP 作为生成动态页面和处理后台请求的核心编程语言，此次披露的 PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个严重漏洞，严重性评分均为 9.2 分（满分 10 分）。据 介绍，除已修复版本外，受影响范围可追溯至 PHP 5.4。当 PHP 在内存耗尽或请求处理出错后，可能误用尚未准备好或已经释放的内存。一旦满足利用条件，攻击者无需登录即可在服务器上运行程序，或读取内存中的密码、令牌等机密数据。

PHP 团队已演示，在 这一部署方式下，攻击能在网站应用代码运行前触发。此时登录验证和应用内的安全插件可能尚未启动，服务器便已遭攻击，网站内容、登录会话和后台凭证都可能受威胁。据 PHP 基金会介绍，、 与 Wiz 分别提交了相关利用路径；Wiz 称，相关缺陷存在已超过十年，AI 模型降低了构造和适配复杂攻击的难度。

Woofun AI 整理数据显示，慢雾扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，占比约为 53.3%。但这仅是技术使用痕迹，不能据此认定这些网站存在漏洞或已被攻破。

Node.js 让 JavaScript 能在服务器等环境中运行，此次修复了 10 个漏洞（其中 4 个为高危），包括解压数据时可能远程执行恶意代码的 Brotli 解码器问题（CVE-2026-111497）、错误验证服务器身份的 TLS 证书校验绕过（CVE-2026-105483、CVE-2026-106069）和 DNS 解析漏洞（CVE-2026-105482），并拦截与私钥已失陷的 eMudhra 中间 CA 相关的证书链。实际风险取决于应用是否使用了受影响的版本和功能。浏览器里的普通 JavaScript 不同于服务器上的 Node.js，并非所有网页都会受到同等影响。

应用部署平台 Railway 的风险集中在凭证泄露。该平台称，第三方可能访问了加密环境变量，并读取其中部分解密内容；平台认为，此事属于近期以入侵 AI 推理服务商为目标的一系列攻击。环境变量通常存放数据库密码、API 密钥，有时也包含项目签名私钥。Railway 在排查期间一度暂停构建部署，并建议所有用户更换相关凭证。Railway 在 10 月 22 日补充提醒，保存在平台上的 、 等凭证可能被用于访问其他云资源，排查范围不应局限于 Railway 内部。