9.2，两个洞同一个分，我按已经有人在打来看，不当成还停在纸面上的提醒。
CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 都是 9.2。不用账号密码，也不用 API Key，对着公网 PHP 发构造请求，就可能拿到 Web 服务进程权限跑任意代码。版本从 5.4 盖到 8.5.11，补丁公布前细节已经泄露。亚马逊威胁情报在公开披露前 4 天就看到利用尝试。
我盯的是慢雾 MistEye 那组数：1488 个加密相关域名，793 个带直接 PHP 指纹，大约 53.3%。前端、API、空投领取页、运营后台、托管钱包服务都在这条链下面上。一半出头还露着 PHP，打的是项目门口，不是盘口本身。
#安全事件 #基础设施
CVE-2026-109618 和 CVE-2026-109619，CVSS v4.0 都是 9.2。不用账号密码，也不用 API Key，对着公网 PHP 发构造请求，就可能拿到 Web 服务进程权限跑任意代码。版本从 5.4 盖到 8.5.11，补丁公布前细节已经泄露。亚马逊威胁情报在公开披露前 4 天就看到利用尝试。
我盯的是慢雾 MistEye 那组数：1488 个加密相关域名，793 个带直接 PHP 指纹，大约 53.3%。前端、API、空投领取页、运营后台、托管钱包服务都在这条链下面上。一半出头还露着 PHP，打的是项目门口，不是盘口本身。
#安全事件 #基础设施