รายงานช่องโหว่ PHP ของ SlowMist: กระทบโครงสร้างพื้นฐานนอกเชนของ Web3 ผู้พัฒนาโปรเจกต์ควรอัปเกรดเป็นเวอร์ชันล่าสุดทันที
BlockBeats รายงานว่า วันที่ 23 ตุลาคม ทีมความปลอดภัย SlowMist เผยแพร่รายงานวิเคราะห์เชิงลึกเกี่ยวกับช่องโหว่ระดับสูงของ PHP ระบุว่าช่องโหว่ระดับอันตรายสองรายการที่ PHP เปิดเผยเมื่อเร็วๆ นี้กำลังก่อให้เกิดความเสี่ยงเชิงระบบต่อ "ส่วนที่อยู่นอกเชน" ของอุตสาหกรรม Web3 ช่องโหว่หมายเลข CVE-2026-109618 และ CVE-2026-109619 มีคะแนน CVSS v4.0 อยู่ที่ 9.2 คะแนนทั้งคู่ จัดอยู่ในระดับรุนแรง ผู้โจมตีไม่จำเป็นต้องมีบัญชี รหัสผ่าน หรือ API Key เพียงส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังบริการ PHP ที่เปิดเผยต่ออินเทอร์เน็ตสาธารณะ ก็อาจสามารถรันโค้ดใดๆ ก็ได้ด้วยสิทธิ์ของโปรเซสเว็บเซอร์วิส
SlowMist ระบุว่าช่องโหว่ส่งผลกระทบต่อ PHP ทุกเวอร์ชันตั้งแต่ 5.4 ถึง 8.5.11 และรายละเอียดของช่องโหว่ได้รั่วไหลก่อนที่แพตช์อย่างเป็นทางการจะเผยแพร่ ทีมข่าวกรองภัยคุกคามของ Amazon สังเกตเห็นความพยายามใช้ประโยชน์จริงก่อนการเปิดเผยต่อสาธารณะ 4 วัน การสแกนโดยระบบข่าวกรองภัยคุกคาม MistEye ของ SlowMist แสดงว่าใน 1488 โดเมนที่เกี่ยวข้องกับคริปโตที่ระบบรวบรวม มี 793 โดเมนที่มีลายนิ้วมือ PHP โดยตรง คิดเป็นประมาณ 53.3% ซึ่งหมายความว่าหน้าเว็บส่วนหน้า อินเทอร์เฟซ API หน้าเคลมairdrops แบ็กเอนด์ปฏิบัติการ และบริการกระเป๋าเงินแบบ托管 ของโครงการ Web3 จำนวนมาก ซึ่งเป็นโครงสร้างพื้นฐานนอกเชน อาจทำงานอยู่บนสภาพแวดล้อม PHP ที่ได้รับผลกระทบ
SlowMist เตือนเป็นพิเศษว่าความปลอดภัยของ Web3 ไม่สามารถจับจ้องเพียงสัญญาบนเชนเท่านั้น หากผู้โจมตีใช้ช่องโหว่ PHP โจมตีเซิร์ฟเวอร์เว็บไซต์ของโครงการได้สำเร็จ ก็สามารถแก้ไขหน้าเว็บส่วนหน้าและหลอกล่อให้ผู้ใช้ลงนามธุรกรรมอันเป็นอันตราย เพื่อขโมยสินทรัพย์โดยตรง แม้สัญญาบนเชนจะไม่มีช่องโหว่ ก็ไม่ได้หมายความว่าส่วนที่อยู่นอกเชนซึ่งขับเคลื่อนสัญญาจะปลอดภัย
ด้านการแก้ไข ทางการได้เผยแพร่เวอร์ชัน PHP 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 แล้ว โครงการที่เกี่ยวข้องควรอัปเกรดทันที ส่วน PHP 8.1 และเวอร์ชันก่อนหน้าได้ยุติการสนับสนุนตามปกติจากต้นน้ำแล้ว ควรย้ายระบบโดยเร็วที่สุด SlowMist ยังเตือนด้วยว่ามาตรการบรรเทาชั่วคราวเมื่อไม่สามารถอัปเกรดได้ทันทีนั้นสามารถลดความเสี่ยงของเส้นทางการโจมตีเฉพาะได้เท่านั้น การติดตั้งแพตช์ยังคงเป็นวิธีแก้ปัญหาที่สมบูรณ์
