Основатель Binance Чанпэн Чжао призвал пользователей криптовалют быть особенно осторожными при посещении сайтов в ближайшие дни после обнаружения двух критических уязвимостей в PHP – языке, на котором работают около 70% сайтов, у которых известен серверный язык. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют злоумышленникам исполнять вредоносный код на уязвимых серверах без аутентификации.
21 октября разработчики PHP выпустили экстренные патчи после того, как детали утекли до официального раскрытия. Исправления доступны в версиях PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Уязвимости затрагивают установки PHP, поддерживающие WordPress, Magento, Drupal и Joomla; успешная эксплуатация позволяет скомпрометировать инфраструктуру сайта, получить доступ к конфиденциальным данным или изменить контент для посетителей.
По данным Фонда PHP, обе уязвимости получили оценку 9,2 из 10 и связаны с недостатками управления памятью и обработки ошибок. Фонд призвал администраторов обновиться немедленно, предупредив, что временные защиты не устраняют риск полностью. Старые версии вне поддерживаемых веток зависят от исправлений, которые отдельно поставляют хостинг-провайдеры и вендоры.
В предупреждении от 22 октября Чжао написал: «Называйте меня параноиком, но будьте предельно осторожны при посещении любого сайта в ближайшие несколько дней» – некоторые администраторы, по его словам, не всегда устанавливают патчи вовремя. Он также отметил, что эксплуатацию подтвердили в реальной среде вскоре после раскрытия, что ускорило защиту на уровне WAF и патчинг. При этом уязвимости затрагивают серверы, а не устройства посетителей: сам визит на PHP-сайт не означает автоматической компрометации кошелька.
Предупреждение не означает, что уязвима каждая криптоплатформа. Исполнительный директор BNB Chain Нина Ронг подтвердила, что сеть не использует PHP в своем стеке, а PancakeSwap сообщила, что PHP нигде в ее инфраструктуре не применяется и средства пользователей в безопасности. Чжао репостнул это заявление с комментарием: «Большинству проектов стоит хотя бы опубликовать такое подтверждение».
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.
Похожие статьи
