PHP 曝 9.2 分致命漏洞：Web3 链下防线告急

据 Woofun AI 消息，PHP 项目于 10 月 21 日发布紧急安全更新，修复了 CVE-2026-109618 和 CVE-2026-109619 两个可导致未认证远程代码执行（RCE）的严重漏洞，二者均被评为 CVSS v4.0 9.2 分。PHP 官方明确指出，在修复补丁应用之前，所有对外提供 Web 服务的 PHP 安装实例均处于高风险状态，可能遭受直接攻击。

时间线的异常暴露了威胁的紧迫性。漏洞细节在官方正式披露前便已泄露，迫使 PHP 安全团队将原定于 10 月 22 日的紧急版本提前至 10 月 21 日 14:00 (UTC) 发布。更令人警惕的是，实际攻击行为早于公开披露。Amazon 威胁情报团队报告称，其在 10 月 17 日便通过 MadPot 蜜罐网络观测到针对 php2shell 的利用尝试，比公开披露早了四天。慢雾() 也在 PHP 官方预告发布后第一时间发出了安全提醒和建议，强调行业需立即响应。

从技术原理层面解构，这两个漏洞分别利用了内存管理和状态处理的缺陷。CVE-2026-109618 源于 OOM 内存损坏：当 PHP 内存耗尽时，处理流程被打断，数据仅准备了一半，但收尾清理阶段却将这些半成品当作完整数据处理，导致内存混乱。CVE-2026-109619 则涉及陈旧全局状态：一个请求处理完毕后，内存虽已释放，但相关状态仍残留；同一工作进程在处理下一个请求时，可能在正常初始化前误用这份过期状态。官方已确认，攻击者可借此攻击 PHP-FPM 并实现远程代码执行。

影响范围极为广泛，波及 PHP 5.4 至 8.5.11 的所有版本。官方发布的修复版本包括 8.5.12、8.4.27、8.3.36 和 8.2.35。值得注意的是，PHP 8.1 及更早版本已停止上游常规支持，无法通过常规渠道获得补丁，用户必须迁移至受支持的版本。由于 PHP 在 Web 领域的统治地位，在能识别服务器语言的网站中，69.3% 使用 PHP，、、 等主流系统均基于此构建。全球反应剧烈：荷兰国家网络安全中心预防性关闭网站；韩国总统办公室召开紧急网络安全会议并上调警报级别；据报道，朝鲜几乎所有官方网站，包括官方媒体和政府门户网站，已离线超过 24 小时，虽未确认与该漏洞直接相关，但侧面反映了恐慌程度。

对 Web3 行业而言，这一漏洞揭示了链下环节的巨大风险暴露。尽管链上合约本身可能无漏洞，但围绕合约运转的大量链下服务，如前端页面、API、托管钱包、签名服务、空投领取页、运营后台和数据服务，许多仍由 PHP 搭建。

Woofun AI 整理数据显示，在扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，占比约为 53.3%。需要强调的是，这仅表明这些网站使用了 PHP，并不直接代表它们存在漏洞或已被攻破，但潜在的攻击面确实巨大。

若 DeFi、钱包类网站或空投页的服务器被控制，攻击者可实施前端投毒，替换页面中的 RPC 地址、授权对象、合约地址或签名提示，将正常交易转化为恶意授权、恶意合约交互或假充值流程。攻击者无需攻破合约，只需诱导用户签署恶意授权即可。

此外，服务器失陷可能导致 API Token、环境变量、API Key、会话令牌等敏感信息泄露。若后端 PHP 对接节点 RPC 或热钱包服务，凭证泄露可能升级为热钱包资产转移或签名权限滥用。攻击者还可接管后台与 API，篡改 KYC/风控接口、充值地址分配、提现审核等配置，甚至通过读取 CI/CD 密钥、容器运行时 socket、云访问令牌实现供应链横向移动，从单台 Web 节点渗透至整个生产环境。、、、、 等加密支付方案的 WooCommerce 集成也面临严重暴露风险。