刷到慢雾 MistEye：扫了约 1488 个加密相关域名，793 个带 PHP 指纹。PHP 刚紧急放出两个高危补丁（CVE-2026-109618 / 109619，约 CVSS 9.2），特定环境下未登录就能远程执行代码。

CZ 也喊项目方赶紧自查并公开说明。PancakeSwap、BNB Chain 说没用 PHP；Coinbase、BitGo 称自查未见暴露实例。PHP 基金会自己承认这块修了很久，叫「结构性失败」——早期信号 2024 年就有。

跑 PHP 的站点该升到 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35；这几天访问陌生站多留个心，尽量收藏夹直达。

#安全 #PHP #慢雾