PHP 在 2026 年 10 月 21 日发布紧急更新，修补两个高危漏洞：CVE-2026-109618 与 CVE-2026-109619，资安业界称为「PHP2Shell」。两个漏洞的 CVSS v4 评分都是 9.2（满分 10），攻击者不需要登录，就可能在服务器上运行代码。

PHP 是常见的网站后端语言。很多加密货币平台的官网、会员后台和 API 服务都用到它。这次的问题出在这些网站服务器上，不是区块链本身。

两个漏洞是什么

  • CVE-2026-109618：内存不足时，PHP 可能在处理请求到一半时中断，留下没有初始化完成的数据，之后的清理进程又拿来使用。攻击者可以用特制的上传请求触发。
  • CVE-2026-109619：同一个处理进程会被重复用来处理多个请求。前一个请求结束时已经释放的内存，下一个请求可能又被拿来用（use-after-free，释放后使用）。

资安公司 Rapid7 指出，风险最高的是 Apache 的 mod_php 架构，因为攻击可能在网站代码运行之前就发生。用 PHP-FPM 的环境风险较低，但也不是完全不受影响。

时间线

  • 10 月 17 日：Amazon 威胁情报团队在诱捕系统中看到第一笔利用尝试，比公开揭露早 4 天。
  • 10 月 21 日：PHP 官方发布 8.5.12、8.4.27、8.3.36、8.2.35 修补版本。同一天稍早，公开的概念验证攻击程序已经在网络上流传。
  • 同一天，美国国家安全局（NSA）与网络安全暨基础设施安全局（CISA）呼吁立即修补。CISA 表示还没观察到实际利用，NSA 则认为攻击者很可能会把这两个漏洞拿来使用。
  • 10 月 22 日：区块链资安公司慢雾（SlowMist）扫描 1,488 个加密货币产业网域，其中 793 个看得出使用 PHP。慢雾也说明，用 PHP 不等于有漏洞或已经被入侵。
  • 10 月 23 日：PHP 再公布一个相关漏洞 CVE-2026-115560，出在 session 上传进度功能。依 Cloudflare 的说明，已更新到 8.5.12 的版本也受影响。PHP 表示只有设置特殊的网站会受影响，不发紧急更新，会在下一次例行版本修正。

各家资安公司对「是否已有成功入侵」的说法不一。有的观察到攻击尝试，Rapid7 则表示目前公开的攻击程序只对特定的系统组合有效。到目前为止，还没有公开确认的加密货币平台入侵案例。

平台端该做什么

目前建议两件事一起做：升级到 10 月 21 日的修补版本，并在服务器层级关闭 session.upload_progress.enabled。后者也是 PHP 对 10 月 23 日新漏洞的建议，在下一次例行版本出来前都适用。Rapid7 另外建议限制上传请求的大小。PHP 8.1 以前的版本已经没有官方例行更新，需要升级或找厂商修补。

一般用户能做什么

服务器漏洞要靠平台修补，用户端没有办法直接防范。可以做的是把帐户本身的防护做好：

  • 打开两步骤验证（2FA），不要只用短信验证。
  • 有提领地址白名单的平台，把常用地址加进去。
  • 留意以「资安升级」为名、要你重新登录或输入私钥的消息。
  • 想确认平台有没有受影响，以平台官方公告为准。