SlowMist警告比特币(BTC)平台:PHP漏洞评分高达9.2

SlowMist标记两个PHP严重漏洞

区块链安全公司SlowMist发布紧急预警,覆盖比特币(BTC)生态中每一个主要的托管节点:中心化交易所、钱包服务商以及运行在线服务器的比特币DeFi平台。此次问题出在PHP身上,这门服务器端语言支撑着全球约七成网站,两个漏洞均被评级到严重程度的最高档,编号为CVE-2026-109618和CVE-2026-109619,在安全团队通用的风险评级框架CVSS 4.0下,得分均为满分10分中的9.2分。在特定条件下,攻击者无需任何身份验证即可在存在漏洞的服务器上执行恶意代码,等于绕过了服务器最基本的一道防线。SlowMist的公告说明:第一个漏洞源于PHP在服务器内存不足时的处理方式,第二个则涉及服务器请求之间已失去有效性却仍可被读取的内存数据。一旦被成功利用,攻击者可能干扰服务器基础设施并触及敏感数据。对全天候处理用户账户和资金流转的平台而言,这一风险被认定为尤其严重。SlowMist表示,漏洞公开后,其MistEye威胁情报系统立即对加密行业的PHP基础设施发起全球扫描,范围包括服务比特币及各主要山寨币的交易所、钱包后端和相关服务。风险还延伸到链下组件:在一侧网络保管Bitcoin (BTC)、在另一侧发行资产的跨链桥协议,运行的正是这些漏洞所针对的全天候服务器架构。公告同时划出一条重要边界:比特币网络本身并不运行PHP,报告内容不涉及比特币价格,也不触及协议的结算规则,风险集中在托管用户币资产的机构和服务商身上。

PHP补丁10月21日发布

PHP开发团队于10月21日发布两个漏洞的修复,在四个受支持分支上同步推出补丁版本8.5.12、8.4.27、8.3.36和8.2.35。四个版本均包含同样的两项修复,管理员无需迁移版本,只需在所在分支内升级到补丁版本即可封堵漏洞,也没有任何受支持的PHP版本线被排除在修复之外。维护者在发布补丁的同时附上了自己的运维警告:访问限制和临时缓解措施本身并不足够,要获得全面防护,安装更新是强制要求。SlowMist持相同立场,并向比特币基础设施领域的各家公司给出一份可操作的清单:排查服务器上运行的PHP版本,优先处理可从公网直接访问的系统,并尽快安装安全更新。这个先后顺序并非随意,因为行业内的暴露程度并不均等。交易所面向公众的应用程序接口网关,攻击面远大于内部报表工具;MistEye扫描的设计目标正是刻画这种差异,即哪些加密服务把PHP暴露在互联网上,哪些没有。该机构的指引把可从互联网访问的系统列为第一优先修补对象,其余系统按可达程度依次推进。按公告的表述,未打补丁的服务器一旦被利用,可能危及用户余额和交易处理背后的基础设施,因此响应窗口以天而非周来衡量。对托管比特币的平台来说,这些版本号给了合规团队一条简单的审计线:分支内任何仍运行低于8.2.35版本的服务器,必须在本个工作时段结束前处理。

风险在托管环节,而非比特币网络

我们的解读是:持币者资产面临的威胁经由第三方服务器传导,而非比特币协议本身,自托管用户不在影响范围之内。比特币矿业的运营者同样不在直接波及之列,因为挖矿基础设施并不依赖PHP网页架构。暴露最集中的资产是托管型工具,其中Wrapped Bitcoin代币首当其冲,因为其储备依赖发行方服务器不被攻破。市场迄今把这次披露视为运营层面的事件,而非方向性信号:在本月早些时候的10月反弹中,比特币曾触及接近8.5万美元的周内高点。想追踪该事件是否影响情绪的交易者,可以关注我们的比特币技术分析。这一风险要真正落地,有一个前提必须成立:某家加密平台一台未打补丁、暴露在公网上的PHP服务器,在其运维方安装10月21日补丁之前被攻击者找到并利用。