FBI等机构警告PHP2Shell漏洞，加密平台面临基础设施风险

FBI、NSA 和 CISA 警告称 PHP2Shell 两个漏洞（CVE-2026-109618、CVE-2026-109619，CVSS v4.0 均为 9.2）可让攻击者免认证在服务器执行代码，PHP 基金会已于 10 月 21 日发布 8.5.12、8.4.27、8.3.36、8.2.35 修复版本，Cloudflare 称已部署 WAF 防护。文章指出漏洞本身不等于任何交易所已被入侵，也不构成卖出比特币或以太坊的依据；建议先确认服务商是否发布相关警告、检查账户异常与凭据是否泄露，再决定是否提币，并通过官方渠道更新应用、核查交易与代币授权、绝不向网站输入助记词。文中还提到 Ledger 硬件钱包植入物事件（估计涉 311 个钱包、5 条网络、9300 万美元，仍为估计值），与 PHP2Shell 属不同问题。