同时关联该项目与事件的快讯
慢雾安全团队发布报告称，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 两个高危漏洞，正对 Web3 行业链下基础设施构成风险。两项漏洞的 CVSS v4.0 评分均为 9.2 分，攻击者无需账号密码或 API Key，仅向暴露在公网的 PHP 服务发送构造请求，即可能以 Web 服务进程权限执行任意代码。漏洞影响 PHP 5.4 至 8.5.11 的所有版本，且漏洞细节在官方补丁发布前已泄露。亚马逊威胁情报团队在公开披露前 4 天已观测到实际利用尝试。慢雾威胁情报系统 MistEye 扫描显示，在统计的 1488 个加密相关域名中，有 793 个带有直接 PHP 指纹，占比约 53.3%。受影响的链下设施包括 Web3 项目的前端页面、API 接口、空投领取页、运营后台及托管钱包服务等。攻击者若利用 PHP 漏洞攻陷项目网站服务器，可能篡改前端页面并诱导用户签署恶意交易，从而盗取资产。官方已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相关项目应升级至对应最新版。PHP 8.1 及更早版本已停止上游常规支持，应尽快迁移。无法立即升级时采取的临时缓解措施只能降低特定攻击路径风险，应用补丁仍是彻底解决方案。
Hacken 在 2026 年第二季度安全与合规报告中表示，机构投资者正将尽调范围从智能合约审计扩展至持续监控、签名者控制和事件响应准备。其追踪的 1427 个项目中，仅 9%具备第三方监控，4%同时具备监控、活跃漏洞赏金和安全审计。 报告显示，第二季度约 7.64 亿美元被盗资金中，88.3%涉及被攻破的密钥、签名者和基础设施。Hacken 表示，14 个第二季度遭攻击项目此前曾完成审计，但多数损失来自传统智能合约审查范围之外。 报告称，受影响环节包括签名设备、跨链桥验证者、后端基础设施、管理员密钥以及已弃用但仍运行的旧合约。样本覆盖 CoinGecko 信任评分前 50 的中心化交易所所列、市值超 100 万美元的 1427 个项目，不含包装资产、稳定币和代币化现实世界资产。