同時關聯該項目與事件的快訊
慢霧安全團隊發佈報告稱，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 兩個高危漏洞，正對 Web3 行業鏈下基礎設施構成風險。兩項漏洞的 CVSS v4.0 評分均爲 9.2 分，攻擊者無需賬號密碼或 API Key，僅向暴露在公網的 PHP 服務發送構造請求，即可能以 Web 服務進程權限執行任意代碼。漏洞影響 PHP 5.4 至 8.5.11 的所有版本，且漏洞細節在官方補丁發佈前已泄露。亞馬遜威脅情報團隊在公開披露前 4 天已觀測到實際利用嘗試。慢霧威脅情報系統 MistEye 掃描顯示，在統計的 1488 個加密相關域名中，有 793 個帶有直接 PHP 指紋，佔比約 53.3%。受影響的鏈下設施包括 Web3 項目的前端頁面、API 接口、空投領取頁、運營後臺及託管錢包服務等。攻擊者若利用 PHP 漏洞攻陷項目網站服務器，可能篡改前端頁面並誘導用戶簽署惡意交易，從而盜取資產。官方已發佈 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相關項目應升級至對應最新版。PHP 8.1 及更早版本已停止上游常規支持，應儘快遷移。無法立即升級時採取的臨時緩解措施只能降低特定攻擊路徑風險，應用補丁仍是徹底解決方案。
Hacken 在 2026 年第二季度安全與合規報告中表示，機構投資者正將盡調範圍從智能合約審計擴展至持續監控、簽名者控制和事件響應準備。其追蹤的 1427 個項目中，僅 9%具備第三方監控，4%同時具備監控、活躍漏洞賞金和安全審計。 報告顯示，第二季度約 7.64 億美元被盜資金中，88.3%涉及被攻破的密鑰、簽名者和基礎設施。Hacken 表示，14 個第二季度遭攻擊項目此前曾完成審計，但多數損失來自傳統智能合約審查範圍之外。 報告稱，受影響環節包括簽名設備、跨鏈橋驗證者、後端基礎設施、管理員密鑰以及已棄用但仍運行的舊合約。樣本覆蓋 CoinGecko 信任評分前 50 的中心化交易所所列、市值超 100 萬美元的 1427 個項目，不含包裝資產、穩定幣和代幣化現實世界資產。