慢雾解读 PHP 两个 9.2 分 RCE 漏洞对 Web3 的风险与处置步骤
PHP Unveils Critical “Internet-Wide” Vulnerabilities: How Can Web3 Patch Its “Off-Chain Weaknesses”?
内容摘要
PHP 项目于 10 月 21 日发布紧急安全更新，修复 CVE-2026-109618 和 CVE-2026-109619 两个可导致未授权远程代码执行的漏洞，CVSS v4.0 评分均为 9.2，影响 PHP 5.4 至 8.5.11，修复版本为 8.5.12、8.4.27、8.3.36 和 8.2.35。慢雾指出，其威胁情报系统 MistEye 扫描的 1488 个加密行业相关域名中，793 个具有直接 PHP 指纹，约占 53.3%，但这仅说明使用了 PHP，不代表已被攻破；文章给出平台侧的清点升级、凭证轮换、隔离签名与热钱包私钥等处置步骤，并建议普通用户无需提币，重点是核对签名细节、警惕假冒登录与赔付页面。
来源：SlowMist 慢雾 · slowmist.medium.com
打开原文所属事件
PHP紧急修复两个9.2分RCE漏洞，修复版本已发布
PHP项目于10月21日发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619两个可导致未授权远程代码执行的漏洞，CVSS v4.0评分均为9.2，影响PHP 5.4至8.5.11，修复版本为8.5.12、8.4.27、8.3.36和8.2.35。慢雾扫描的1488个加密行业相关域名中793个具有直接PHP指纹（约53.3%），但强调这仅是技术使用痕迹，不代表已被攻破。FBI、NSA和CISA呼吁相关机构紧急修补。
最新变化：修复版本已发布，慢雾称漏洞细节提前泄露致补丁提前，亚马逊称10月17日已观测到利用尝试。
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一事件的进展Cryptonews · 新闻报道
PHP2Shell 漏洞引发加密安全讨论：是否应提币或卖出
查看摘要与出处
FBI、NSA 和 CISA 警告称 PHP2Shell 两个漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4.0 均为 9.2）可让攻击者免认证在服务器执行代码，PHP 基金会已于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版本，Cloudflare 称已部署 WAF 防护。文章指出漏洞本身不等于任何交易所已被入侵，也不构成卖出比特币或以太坊的依据；建议先确认服务商是否发布相关警告、检查账户异常与凭据是否泄露，再决定是否提币，并通过官方渠道更新应用、核查交易与代币授权、绝不向网站输入助记词。文中还提到 Ledger 硬件钱包植入物事件（估计涉 311 个钱包、5 条网络、9300 万美元，仍为估计值），与 PHP2Shell 属不同问题。
核对原文 ↗同一事件的进展Foresight News · 中文资讯 · 一手发布
PHP 等漏洞引发安全警报，加密项目排查前端与部署平台风险
查看摘要与出处
10 月 21 日至 22 日，PHP 与 Node.js 先后发布安全更新，云部署平台 Railway 披露客户环境变量可能遭未授权访问，AI 网关 LiteLLM 一个发布版本被植入恶意程序。PHP2Shell 包含 CVE-2026-109618 和 CVE-2026-109619 两个评分 9.2 的漏洞，受影响范围可追溯至 PHP 5.4；慢雾扫描的 1488 个加密行业相关域名中 793 个具有直接 PHP 指纹，但这仅是技术使用痕迹，不能据此认定存在漏洞或已被攻破。TokenWorks 称其 keeper 已离线并转出运行钱包中的 1.17 ETH，属预防性转移而非披露被盗；PeekPeak 已更换被视为泄露的执行者私钥。文章提醒用户核对链上授权记录，断开网站连接不会取消授权，撤销授权仍需链上交易和手续费；私钥或助记词泄露后应将剩余资产转入使用全新助记词的新钱包。
核对原文 ↗同一事件的进展PANews
PHP披露两个严重级远程代码执行漏洞，安全更新将于今晚发布
查看摘要与出处
据慢雾报道，PHP于10月20日发布安全公告，确认存在两个可能导致远程代码执行的严重漏洞CVE-2026-109618和CVE-2026-109619，CVSS v4.0评分均为9.2，官方补丁尚未发布。PHP安全团队预计10月21日22:00（UTC+8）发布安全更新，若漏洞细节提前公开或发现被实际利用的迹象则提前发布；第三方报告称PHP 5及之后的版本可能受影响，技术细节和受影响版本尚未正式确认。慢雾建议排查PHP版本，优先修补面向公网的服务，暂时无法修补的应限制或隔离对外暴露的PHP服务。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料动区 BlockTempo · 中文资讯
意大利米兰租车行被指黑手党地下银行，30人被捕、查扣2100万欧元
查看摘要与出处
意大利财政警察在米兰近郊佩罗（Pero）查处一间被指为光荣会与克莫拉共用的租车行，行动于 2026 年 10 月 21 日公布，30 人遭羁押处分，查扣现金、存款、加密货币等资产总值 2,100 万欧元（约 2,360 万美元）。检方称假发票金额逾 1.1 亿欧元，约 6,800 万欧元被汇出境外；洗钱流程为收现金、开空壳公司假发票并抽 2% 至 5% 手续费、经卢森堡等地银行转帐，最后经交易所换成加密货币存入集团钱包。案中还涉及一名财政警察督察和一名法院职员被控向组织泄露信息。
核对原文 ↗同主题资料Bitcoin.com News · 海外资讯
哥伦比亚与美国联合逮捕八名涉加密货币洗钱嫌疑人
查看摘要与出处
哥伦比亚总检察长办公室周三宣布，与美国情报部门协调逮捕八名涉嫌利用加密货币为贩毒集团洗钱的嫌疑人，行动在 Cajicá、Maicao、Barranquilla 和 Bogotá 四地展开。美国波多黎各地区法院指控该团伙用存款网络、加密代币和拆分小额交易（smurfing）掩盖毒资来源；据美国国税局（IRS），Nassim Orfale Vasquez 自 2018 年以来处理了超过 4200 万美元的可疑加密交易，其在纽约南区法院被起诉。哥伦比亚总检察长办公室称被捕者将依哥伦比亚法律进入引渡程序。
核对原文 ↗同主题资料PANews
CZ：AI无需破解比特币加密技术也足以造成破坏
查看摘要与出处
币安创始人 CZ 表示，人工智能即便无需破解比特币的加密技术，也足以造成破坏，因为现有的数据泄露已助长了更多的网络钓鱼、社会工程攻击等行为。他同时指出，互联网和银行系统所依赖的加密机制其实更为脆弱，并提醒人们务必注意安全。
核对原文 ↗