区块链安全公司SlowMist发布紧急安全警报，涉及全球加密货币交易所、去中心化金融（DeFi）平台和钱包供应商。此前，广泛使用的服务器端编程语言PHP被发现存在两个严重漏洞，据报道该语言支撑着全球约70%的网站。这些漏洞可能使攻击者能够在易受攻击的服务器上远程执行代码。由于PHP支撑着如此大比例的互联网应用，语言本身的缺陷可能影响基于其构建的任何应用程序，而与应用程序自身代码的质量无关。

根据SlowMist的声明，在漏洞曝光后，该公司的MistEye威胁情报系统对加密货币行业基于PHP的基础设施进行了全球扫描。

这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，在CVSS 4.0评分体系下均获得9.2分（满分10分）的风险评分，该评级将其归类为严重安全威胁。CVSS是安全行业标准化的漏洞严重程度评级框架，9.0分及以上的分数属于其最严重级别。

无需身份验证的代码执行

据安全专家介绍，在某些条件下，这些漏洞可能使攻击者无需任何身份验证即可在易受攻击的服务器上执行恶意代码。身份验证通常是限制谁能访问服务器功能的第一道屏障，因此绕过它的漏洞会被特别紧急地对待，尤其是暴露在公共互联网上的系统。

技术细节显示，第一个漏洞源于PHP处理内存不足的方式，而第二个漏洞则源于在服务器请求之间使用过期内存数据的可能性。

如果漏洞被成功利用，攻击者可能得以入侵服务器基础设施并访问敏感数据。对于提供涉及用户账户和金融交易服务的加密货币平台而言，潜在风险被认为尤其高。这一事件还表明，加密货币行业的安全不仅涉及区块链协议，还包括支撑交易所、钱包和DeFi应用的传统网络基础设施。

关键安全更新已发布

10月21日，PHP开发团队发布了8.5.12、8.4.27、8.3.36和8.2.35版本，以修复这两个安全漏洞。这些版本覆盖了PHP所有处于活跃维护状态的版本分支，这意味着每个受支持分支上的运营者都有对应的修复版本可用。

SlowMist敦促加密货币企业检查其服务器上运行的PHP版本，优先处理可通过互联网访问的系统，并及时安装安全更新。

PHP开发者补充道，仅依靠访问限制或临时安全措施是不够的，必须应用相关补丁才能实现全面保护。

*本文不构成投资建议。