區塊鏈安全公司 SlowMist 向全球加密貨幣交易所、去中心化金融（DeFi）平台與錢包服務商發布重大安全警示，原因是在廣泛使用的伺服器端程式語言 PHP 中發現兩個嚴重漏洞，據稱全球約 70% 的網站均採用 PHP。這些漏洞可能讓攻擊者在受影響的伺服器上遠端執行程式碼。由於 PHP 支撐著網路上如此大比例的網站，語言本身的弱點可能影響建構在其上的任何應用程式，無論應用程式自身程式碼的品質如何。

根據 SlowMist 的聲明，在漏洞曝光後，該公司的 MistEye 威脅情報系統對加密貨幣產業中基於 PHP 的基礎設施進行了全球掃描。

這兩個漏洞編號分別為 CVE-2026-109618 與 CVE-2026-109619，在 CVSS 4.0 系統下均獲得 9.2 分（滿分 10 分）的風險評分，該評級將其歸類為重大安全威脅。CVSS 是安全產業用於評估漏洞嚴重程度的標準化框架，9.0 分或以上即屬於最嚴重等級。

免驗證的程式碼執行

據安全專家表示，這些漏洞在某些條件下可能讓攻擊者無需任何身分驗證即可在受影響的伺服器上執行惡意程式碼。身分驗證通常是限制誰能存取伺服器功能的第一道屏障，因此能繞過驗證的會受到特別重視，尤其是對暴露於公共網路的系統而言。

技術細節顯示，第一個漏洞源於 PHP 處理記憶體不足的方式，而第二個漏洞則源於在伺服器請求之間重用過期記憶體資料的可能性。

若被成功利用，這些漏洞可能使攻擊者入侵伺服器基礎設施並存取敏感資料。對於提供涉及使用者帳戶與金融交易服務的加密貨幣平台而言，潛在風險被認為特別高。此事件也凸顯出，加密貨幣產業的安全性不僅涉及區塊鏈協議，還涵蓋支撐交易所、錢包與 DeFi 應用程式的傳統網路基礎設施。

重大安全更新已發布

10 月 21 日，PHP 開發團隊發布了 8.5.12、8.4.27、8.3.36 與 8.2.35 版本，以修復這兩個安全漏洞。此次更新涵蓋了 PHP 所有積極維護的版本分支，意味著每個受支援分支上的營運者都有對應的修復版本可用。

SlowMist 已敦促加密貨幣企業檢查其伺服器上執行的 PHP 版本，優先處理可透過網際網路存取的系統，並儘速安裝安全更新。

PHP 開發者補充表示，僅依靠存取限制或臨時安全措施並不足夠，套用相關修補程式對於全面防護至關重要。

*本文不構成投資建議。