区块链安全公司 SlowMist 发布了一份针对全球加密货币交易所、去中心化金融 (DeFi) 平台和加密货币钱包提供商的严重安全警报。在广泛使用的 PHP 编程语言中发现的两个严重漏洞可能允许攻击者远程在易受攻击的服务器上执行代码。
根据 SlowMist 的一份声明，该公司的 MistEye 威胁情报系统在发现漏洞后，对加密货币领域基于 PHP 的基础设施进行了全球扫描。
这两个漏洞分别被识别为 CVE-2026-109618 和 CVE-2026-109619，在 CVSS 4.0 系统中风险评分为 9.2 分（满分 10 分）。该评分表明这些漏洞构成严重的安全威胁。
安全专家表示，已发现的漏洞在特定条件下，可能允许攻击者在无需任何身份验证的情况下，在易受攻击的服务器上执行恶意代码。
根据已披露的技术细节，第一个漏洞源于 PHP 处理内存不足的方式，而第二个漏洞则源于在服务器请求之间使用过期内存数据的可能性。
成功利用此类漏洞可能使攻击者能够入侵服务器基础设施并访问敏感数据。对于提供用户账户和金融交易相关服务的加密货币平台而言，潜在风险尤其高。
关键安全更新已发布
10 月 21 日，PHP 开发团队发布了 PHP 版本 8.5.12、8.4.27、8.3.36 和 8.2.35，以解决这两个安全漏洞。
SlowMist 敦促加密货币公司审查其服务器上的 PHP 版本，优先考虑可通过互联网访问的系统，并及时安装安全更新。
PHP 开发人员补充说，仅仅依靠访问限制或临时安全措施是不够的，应用相关的补丁对于全面保护至关重要。
*本文不构成投资建议。
