SlowMist advierte sobre los riesgos de Web3 debido a vulnerabilidades de PHP

Los especialistas de SlowMist han identificado riesgos para los proyectos Web3 debido a vulnerabilidades en PHP. Según el sistema de monitoreo MistEye, PHP se utiliza en 793 de los 1488 dominios verificados en la industria cripto, lo que representa aproximadamente el 53.3%. SlowMist enfatiza que esto solo indica el uso de PHP y no implica que los sitios web sean vulnerables o hayan sido comprometidos.

Según el informe, los atacantes pueden usar el control del servidor comprometido para reemplazar la dirección del contrato o el destinatario de fondos, lo que lleva al usuario a firmar una operación maliciosa. También pueden robar contraseñas y claves de acceso, aumentando el riesgo de pérdida de fondos, especialmente si el acceso a billeteras calientes o servicios de firma se vuelve posible. La escala de las consecuencias es mucho más grave con una insuficiente aislamiento de datos y amplios permisos del servidor web. SlowMist recomienda aislar los sistemas de gestión de activos de la infraestructura web y limitar los privilegios de cada componente.

Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 están relacionadas con el manejo de memoria en PHP. Se lanzaron correcciones el 21 de octubre para las versiones 8.2.35, 8.3.36, 8.4.27 y 8.5.12. Las restricciones temporales de acceso y los cambios de configuración pueden reducir los riesgos, pero no reemplazan la necesaria actualización del sistema. Amazon registró un intento de ataque el 17 de octubre en su red de honeypot MadPot, pero el éxito de tales ataques en sistemas reales sigue siendo incierto al momento del informe.

SlowMist señaló que la vulnerabilidad no afecta a todos los entornos de servidor, y no todas las billeteras de los usuarios están en riesgo. Para protegerse, se aconseja a los usuarios verificar direcciones y permisos antes de firmar, y tener cuidado con las falsas ofertas de "compensación" y "migración de activos". Se recuerda que el 17 de octubre, Google, Mozilla, Apple y Microsoft también tomaron medidas de emergencia tras descubrir certificados vulnerables de la autoridad de certificación india eMudhra.