PHP 9.2 分漏洞爆发：加密支付平台面临零日攻击风险

据 Woofun AI 消息，全球数百万网站正面临严峻的安全威胁，尤其是依赖 PHP 语言构建的加密货币交易平台及支付服务。10 月 21 日，PHP 开发团队针对名为 PHP2Shell 的两个严重漏洞发布了紧急补丁，其严重程度评分高达 9.2 分（满分 10 分）。

这一漏洞允许攻击者在无需密码的情况下直接侵入服务器，窃取敏感数据甚至完全掌控网站控制权。 已证实攻击者正在利用该漏洞对客户发动实际攻击，导致多个欧洲政府网站被迫暂时关闭服务以规避风险。

尽管目前尚无证据表明大型加密交易所已被攻破，但鉴于部分网站管理员未能及时安装补丁，未来几天内的网络访问风险显著上升。

从技术细节来看，这两个漏洞的编号分别为 CVE-2026-109618 和 CVE-2026-109619，它们直接影响 PHP 处理计算机内存的方式。PHP 作为网站后台处理用户登录、支付请求等核心逻辑的软件，其内存管理机制一旦被操控，攻击者便能获取本应受到严格保护的信息。 Research 指出，成功的攻击可能导致密码、认证 token 以及 API 密钥等关键数字凭证泄露，这些凭证是访问账户和服务的核心钥匙。对于加密货币行业而言，后果可能极为严重。

Woofun AI 整理数据显示，慢雾的威胁情报系统 已对整个加密货币行业中的 PHP 相关资产进行了全球范围扫描，并敦促所有平台、DeFi 项目、钱包提供商及其他相关方尽快评估潜在风险，升级到已安装官方补丁的版本。

值得注意的是，虽然商户集成系统本身不会在其基础设施中产生漏洞，但那些未及时修补或隔离措施不足的小型交易平台及支付服务商，正成为黑客的主要目标。

然而，并非所有加密平台都面临同等程度的风险。大型交易平台通常拥有更完善的安全架构，例如 宣布已于 2025 年完成将其核心后端从 PHP 升级为 Rust 的工作，从而从根本上规避了此类漏洞的影响。

此外，存储在离线硬件钱包中的区块链网络、智能合约以及私钥，由于不依赖于 PHP 运行环境，因此不会受到这些漏洞的直接影响。用户无法自行安装 PHP 的安全补丁，这一责任完全在于网站运营方。因此，当前的重点不应是恐慌性提币，而是关注各平台是否已对其暴露在外的 PHP 服务采取了有效的防护措施。在确认补丁已成功应用之前，处理加密货币支付的网站尤其需要格外小心，任何延迟都可能给攻击者可乘之机。

此次 PHP2Shell 漏洞的爆发，再次凸显了底层基础设施安全对 Web3 生态的重要性。虽然目前尚未出现大规模资金被盗的确凿证据，但攻击者利用零日漏洞进行试探的行为已经证实。随着补丁的逐步部署，行业内的安全水位有望回升，但那些忽视更新的小型服务商仍将是薄弱环节。这是继此前多次供应链攻击之后，又一次对中心化服务节点安全性的严峻考验，提醒所有参与者必须持续关注底层技术的演进与潜在风险。