PHP“php2shell”远程代码执行漏洞威胁加密与Web3后端安全
TREE NEWS 报道， 近日，PHP被披露存在两个高危远程代码执行漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，代号“php2shell”。未经身份验证的远程攻击者可通过发送特制的multipart POST请求触发内存破坏，最终实现远程代码执行，从而完全控制服务器。该漏洞对仍在使用PHP构建后端系统的加密货币交易所、DeFi协议及Web3平台构成严重威胁。
加密平台为何首当其冲
尽管Node.js、Go和Rust在区块链开发中日益流行，PHP在加密行业仍广泛用于传统交易所后台、支付网关、管理面板和API层。许多中小型交易所和托管服务仍运行PHP基础设施，且补丁更新周期滞后。此类严重漏洞可能允许攻击者窃取私钥、操纵提现系统或渗透热钱包，历史上曾导致该行业数亿美元损失。
安全研究人员指出，该漏洞无需认证且可通过标准HTTP请求利用，极可能引发大规模扫描和自动化攻击。一位区块链安全工程师表示：“对于任何面向互联网的PHP服务，这都是蠕虫级漏洞。在加密领域，一台服务器被攻破就可能掏空热钱包，影响范围被放大。”
行业应对与深层启示
云服务商和安全公司正敦促立即修补。加密交易所和DeFi项目被建议紧急自查，尤其是运行PHP中间件或遗留系统的项目。该事件凸显了加密安全态势的持续弱点：智能合约经过审计、链上逻辑受到审视，但链下基础设施——Web服务器、API和管理界面——往往是最薄弱的环节。
历史上，重大交易所入侵多源于Web层漏洞而非区块链缺陷。php2shell漏洞提醒我们，Web3安全必须超越链上。项目方应严格执行补丁管理、网络隔离和后端服务的最小权限原则。
前瞻视角
随着加密行业成熟，监管机构和机构投资者正更加关注运营安全。若php2shell引发大规模漏洞利用，可能促使交易所网络安全标准接受新一轮审查，并加速托管服务的保险和审计要求。当前首要任务是明确的：识别暴露的PHP服务、应用供应商补丁，并监控异常的multipart POST流量。在信任至上的行业里，忽视遗留基础设施风险可能代价高昂。
