El fundador de Binance, Changpeng Zhao, instó a los usuarios de criptomonedas a ser especialmente cautelosos al visitar sitios web en los próximos días después de que se descubrieran dos vulnerabilidades críticas en PHP, un lenguaje que impulsa aproximadamente el 70% de los sitios web con lenguajes de servidor conocidos. Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 permiten a los atacantes ejecutar código malicioso en servidores vulnerables sin autenticación.
El 21 de octubre, los desarrolladores de PHP lanzaron parches de emergencia después de que los detalles se filtraran antes de la divulgación oficial. Las correcciones están disponibles en las versiones de PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las vulnerabilidades afectan las instalaciones de PHP que soportan WordPress, Magento, Drupal y Joomla; la explotación exitosa permite comprometer la infraestructura del sitio, acceder a datos confidenciales o alterar el contenido para los visitantes.
Según la Fundación PHP, ambas vulnerabilidades recibieron una puntuación de 9.2 sobre 10 y están relacionadas con fallos en la gestión de memoria y el manejo de errores. La fundación instó a los administradores a actualizar de inmediato, advirtiendo que las protecciones temporales no eliminan completamente el riesgo. Las versiones más antiguas fuera de las ramas soportadas dependen de correcciones proporcionadas por separado por los proveedores de hosting y vendedores.
En una advertencia fechada el 22 de octubre, Zhao escribió: “Llámame paranoico, pero ten mucho cuidado al visitar cualquier sitio en los próximos días” – algunos administradores, señaló, no siempre instalan parches de manera oportuna. También mencionó que la explotación se confirmó en entornos del mundo real poco después de la divulgación, lo que aceleró la protección a nivel de WAF y la aplicación de parches. Sin embargo, las vulnerabilidades afectan a los servidores, no a los dispositivos de los visitantes: visitar un sitio PHP no compromete automáticamente una billetera.
La advertencia no significa que cada plataforma de criptomonedas sea vulnerable. La Directora Ejecutiva de BNB Chain, Nina Rong, confirmó que la red no utiliza PHP en su pila, y PancakeSwap informó que PHP no se utiliza en ninguna parte de su infraestructura y los fondos de los usuarios están seguros. Zhao republicó esta declaración con el comentario: “La mayoría de los proyectos deberían al menos publicar tal confirmación.”
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
