今天 SlowMist 出了一份分析，讲两个 PHP 高危漏洞，编号 CVE-2026-109618 和 CVE-2026-109619，CVSS 评分 9.2，满分 10 分，这是直接给到的最高一档。受影响的是 PHP 5.4 到 8.5.11 几乎全部版本，官方补丁已经出了，在 8.5.12、8.4.27、8.3.36、8.2.35 这几个版本里修好。更吓人的是细节提前泄露了，亚马逊的威胁情报团队发现，公开披露前四天就已经有人在真刀真枪地尝试利用了。
这跟咱们钱包有什么关系。SlowMist 拿他们的扫描系统 MistEye 扫了 1488 个币圈相关的域名，发现 793 个有 PHP 指纹，超过一半。很多项目的官网、空投领取页、后台接口、一些托管钱包服务，用的都是 PHP。如果黑客用这个漏洞拿下一台项目网站的服务器，他根本不需要碰链上合约，直接改前端页面，把收款地址换掉。你看到的还是那个熟悉的页面，点完签名，钱已经进了别人的钱包。
顺带一提，Trust Wallet、BNB Chain、PancakeSwap 今天都出来表态了，说自己技术栈跟 PHP 没关系，不受影响。CZ 今天也发了个帖子，正好接上后半句：AI 不需要攻破比特币的密码学，真正的危险在数据泄露加钓鱼和社会工程学。
那咱们这种普通散户会怎么中招。两种常见路数。第一种，项目网站被悄悄改了，你在上面领空投、质押、转账，钱包弹出的签名内容你看不懂，随手点了确认，钱就没了。第二种，黑客趁这波大新闻发假安全更新弹窗、假客服消息来钓鱼，借热度下钩子，这个就是 CZ 说的那种。
怎么防，三条能立刻照做的。第一，接下来几天连项目官网之前，先看这个项目官方有没有出来表态说打补丁了，没表态的站，这几天先别连钱包，宁可错过也不送。第二，每次签名前，哪怕看不懂整条签名，至少看一眼收款地址是不是你认识的，地址对不上，立刻停手关页面。第三，所有跟你提安全更新、系统升级、点我验证的，先默认它是骗子，去项目方官方公告渠道核实，真有升级，官方通告里一定会写。大额资金放硬件钱包里隔离一下，这几天尤其不亏。
你平时签交易前，会看一眼签名详情吗，还是随手点确认？
#钱包安全 #防钓鱼 #PHP漏洞 #SlowMist
—— web3韭菜小凯
免责声明：以上为个人分享，不构成投资建议，内容仅供学习交流，币圈有风险，操作需谨慎。
这跟咱们钱包有什么关系。SlowMist 拿他们的扫描系统 MistEye 扫了 1488 个币圈相关的域名，发现 793 个有 PHP 指纹，超过一半。很多项目的官网、空投领取页、后台接口、一些托管钱包服务，用的都是 PHP。如果黑客用这个漏洞拿下一台项目网站的服务器，他根本不需要碰链上合约，直接改前端页面，把收款地址换掉。你看到的还是那个熟悉的页面，点完签名，钱已经进了别人的钱包。
顺带一提，Trust Wallet、BNB Chain、PancakeSwap 今天都出来表态了，说自己技术栈跟 PHP 没关系，不受影响。CZ 今天也发了个帖子，正好接上后半句：AI 不需要攻破比特币的密码学，真正的危险在数据泄露加钓鱼和社会工程学。
那咱们这种普通散户会怎么中招。两种常见路数。第一种，项目网站被悄悄改了，你在上面领空投、质押、转账，钱包弹出的签名内容你看不懂，随手点了确认，钱就没了。第二种，黑客趁这波大新闻发假安全更新弹窗、假客服消息来钓鱼，借热度下钩子，这个就是 CZ 说的那种。
怎么防，三条能立刻照做的。第一，接下来几天连项目官网之前，先看这个项目官方有没有出来表态说打补丁了，没表态的站，这几天先别连钱包，宁可错过也不送。第二，每次签名前，哪怕看不懂整条签名，至少看一眼收款地址是不是你认识的，地址对不上，立刻停手关页面。第三，所有跟你提安全更新、系统升级、点我验证的，先默认它是骗子，去项目方官方公告渠道核实，真有升级，官方通告里一定会写。大额资金放硬件钱包里隔离一下，这几天尤其不亏。
你平时签交易前，会看一眼签名详情吗，还是随手点确认？
#钱包安全 #防钓鱼 #PHP漏洞 #SlowMist
—— web3韭菜小凯
免责声明：以上为个人分享，不构成投资建议，内容仅供学习交流，币圈有风险，操作需谨慎。