PHP两项高危漏洞CVSS评分均达9.2，慢雾建议Web3项目立即升级
慢雾安全团队发布报告称，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 两个高危漏洞，正对 Web3 行业链下基础设施构成风险。两项漏洞的 CVSS v4.0 评分均为 9.2 分，攻击者无需账号密码或 API Key，仅向暴露在公网的 PHP 服务发送构造请求，即可能以 Web 服务进程权限执行任意代码。 漏洞影响 PHP 5.4 至 8.5.11 的所有版本，且漏洞细节在官方补丁发布前已泄露。亚马逊威胁情报团队在公开披露前 4
慢雾安全团队发布报告称，PHP 近期披露的 CVE-2026-109618 和 CVE-2026-109619 两个高危漏洞，正对 Web3 行业链下基础设施构成风险。两项漏洞的 CVSS v4.0 评分均为 9.2 分，攻击者无需账号密码或 API Key，仅向暴露在公网的 PHP 服务发送构造请求，即可能以 Web 服务进程权限执行任意代码。
漏洞影响 PHP 5.4 至 8.5.11 的所有版本，且漏洞细节在官方补丁发布前已泄露。亚马逊威胁情报团队在公开披露前 4 天已观测到实际利用尝试。慢雾威胁情报系统 MistEye 扫描显示，在统计的 1488 个加密相关域名中，有 793 个带有直接 PHP 指纹，占比约 53.3%。
受影响的链下设施包括 Web3 项目的前端页面、API 接口、空投领取页、运营后台及托管钱包服务等。攻击者若利用 PHP 漏洞攻陷项目网站服务器，可能篡改前端页面并诱导用户签署恶意交易，从而盗取资产。
官方已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35 版本，相关项目应升级至对应最新版。PHP 8.1 及更早版本已停止上游常规支持，应尽快迁移。无法立即升级时采取的临时缓解措施只能降低特定攻击路径风险，应用补丁仍是彻底解决方案。
相关阅读
Solana基金会支付增长负责人：未来10年任何资产都可转化为代币
Solana 基金会支付增长负责人 Amira Valliani 在谈及“代币超级周期”时表示，“无论是加密货币领域还是人工智能领域，到处都能见到代币的身影。可以说，万物皆可代币化。代币本质上就是资产的一种机器可读格式。在未来十年里，这一点将变得愈发显而易见：任何属于资产的事物，都可以转化为代币。”
瑞银：近期回调改善风险回报，A股仍具吸引力
瑞银最新研报维持 A 股“具吸引力”观点，认为近期市场走弱改善了风险回报，未实质改变其对盈利前景的积极判断。美国债券收益率上升及地缘政治担忧再起，虽压制部分科技股和材料股，但迄今对基本面的影响有限。沪深 300 信息技术板块 2027 年盈利预测持续上修，增强了瑞银在三季度财报季前的信心。配置上，瑞银偏好精选科技及先进制造龙头、创新医疗保健企业和具有全球竞争力的出口企业，同时看好优质派息企业，尤其是中国大型银行。
Cysic攻击者向Tornado Cash转入约74.37万美元的ETH和BNB
据 PeckShieldAlert 监测，被标记为 Cysic 攻击者的地址已将 300 枚 ETH（约 72.114 万美元）和 30.4 枚 BNB（约 2.259 万美元）存入 Tornado Cash。据 Cysic 基金会称，10 月 17 日，Cysic 跨链桥发生安全事件，导致 1000 万枚 CYS 在 BNB Chain 上被未经授权铸造。