El fundador de Binance, CZ, advierte a los usuarios de criptomonedas sobre fallos críticos de seguridad en PHP

El fundador de Binance, Changpeng Zhao, ha advertido a los usuarios de criptomonedas que ejerzan una precaución adicional al visitar sitios web en los próximos días, después de que se descubrieran dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por millones de sitios web en todo el mundo.

Resumen

• El fundador de Binance, Changpeng Zhao, ha instado a los usuarios de criptomonedas a ser cautelosos al visitar sitios web tras el descubrimiento de dos vulnerabilidades críticas en PHP.
• Las vulnerabilidades podrían permitir a los atacantes ejecutar código malicioso en los servidores afectados, incluidos aquellos que ejecutan plataformas populares como WordPress y Magento.
• Los desarrolladores de PHP lanzaron parches de seguridad de emergencia el 21 de octubre después de que se filtraran detalles de las vulnerabilidades antes de su divulgación planificada.
• Los investigadores de seguridad han detectado intentos de explotación, aunque no se han vinculado incidentes confirmados que afecten a intercambios de criptomonedas o billeteras de usuarios directamente a las fallas.

En una advertencia del 22 de octubre, Zhao señaló dos fallos de seguridad identificados como CVE-2026-109618 y CVE-2026-109619, que podrían permitir a los atacantes ejecutar código malicioso en servidores web vulnerables sin necesidad de autenticación.

Llámame paranoico, pero ten mucho cuidado al visitar CUALQUIER sitio web en los próximos días, ya que algunos administradores web no siempre están al día con los parches de seguridad.

Dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) reportadas para PHP, el lenguaje de programación web, que afectan a servidores... --- CZ 🔶 BNB (@cz_binance) 21 de octubre de 2026

"Llámame paranoico, pero ten mucho cuidado al visitar CUALQUIER sitio web en los próximos días", escribió Zhao, explicando que algunos administradores de sitios web pueden no haber instalado los últimos parches de seguridad.

Las vulnerabilidades afectan a las instalaciones de PHP que soportan plataformas populares de gestión de contenido y comercio electrónico, incluyendo WordPress, Magento, Drupal y Joomla. La explotación exitosa podría permitir a los atacantes comprometer la infraestructura del sitio web, acceder a información sensible o modificar el contenido servido a los visitantes.

Aunque la advertencia de Zhao estaba dirigida a los usuarios de sitios web, las vulnerabilidades subyacentes afectan a los servidores y no significan que visitar cualquier sitio web basado en PHP comprometa automáticamente el dispositivo o la billetera de criptomonedas de una persona.

Las vulnerabilidades de PHP permiten a los atacantes ejecutar código de forma remota

Según la divulgación de seguridad de la Fundación PHP, ambas vulnerabilidades recibieron puntuaciones de severidad de 9.2 sobre 10 e involucran debilidades en la gestión de memoria y los sistemas de manejo de errores del lenguaje de programación.

La primera vulnerabilidad, CVE-2026-109618, implica corrupción de memoria cuando PHP alcanza su límite de memoria configurado durante ciertas operaciones. Bajo condiciones específicas, el servidor puede procesar incorrectamente datos parcialmente inicializados, permitiendo a un atacante ejecutar código no autorizado.

Mientras tanto, CVE-2026-109619 se refiere a referencias de memoria internas que permanecen accesibles después de que la memoria asociada ha sido liberada. Los investigadores demostraron que los atacantes podrían explotar la debilidad para ejecutar código contra aplicaciones que se ejecutan en servidores afectados.

La fundación confirmó que la explotación era posible bajo configuraciones predeterminadas de servidores Apache que utilizan mod_php, mientras que los investigadores demostraron caminos de ataque adicionales que involucran PHP-FPM.

Tras la divulgación, los desarrolladores lanzaron versiones corregidas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 21 de octubre.

El aviso oficial de PHP instó a los administradores a actualizar de inmediato, advirtiendo que las protecciones temporales no podrían eliminar completamente el riesgo.

Las instalaciones de PHP más antiguas siguen siendo una preocupación porque las versiones fuera de las ramas soportadas por el proyecto pueden depender de correcciones de seguridad suministradas por separado por proveedores de alojamiento o vendedores de software.

Se han lanzado parches de emergencia

Los detalles sobre las vulnerabilidades comenzaron a circular antes de que el equipo de seguridad de PHP completara su proceso de divulgación planificada.

Según la fundación, los dos identificadores de vulnerabilidad aparecieron en foros en línea y redes sociales el 20 de octubre, acompañados de una puntuación de gravedad incorrecta de 10.0 y un calendario de lanzamiento inexacto.

Aunque la filtración inicial no contenía instrucciones técnicas de explotación, la empresa de seguridad Calif publicó por error un video de prueba de concepto, demostrando ataques contra varios objetivos.

Las copias continuaron circulando después de que se eliminara el video original, lo que llevó a los investigadores a desarrollar demostraciones adicionales de explotación.

El equipo de PHP adelantó su lanzamiento de seguridad programado del 22 de octubre al 21 de octubre, dando tiempo a los distribuidores de software para preparar actualizaciones mientras se reducía el período durante el cual la información técnica podría circular sin parches disponibles.

La fundación criticó por separado al proveedor de seguridad Chainguard por publicar imágenes de software parcheadas más de seis horas antes del lanzamiento coordinado, lo que podría permitir a los atacantes examinar los cambios antes de la divulgación pública.

La empresa de seguridad Cloudflare implementó protecciones de firewall antes de que las vulnerabilidades se hicieran públicas, trabajando junto a investigadores de OpenAI, Wiz y otras organizaciones involucradas en la divulgación.

Cloudflare dijo que las vulnerabilidades, llamadas colectivamente PHP2Shell, podrían exponer a los servidores afectados a la ejecución remota de código, interrupciones del servicio y exposición de datos sensibles.

¿Los usuarios de criptomonedas están en riesgo por sitios web comprometidos?

La advertencia de Zhao llega mientras los usuarios de criptomonedas continúan enfrentando campañas de phishing que dependen de sitios web fraudulentos y solicitudes engañosas de credenciales de billetera.

La semana pasada, crypto.news informó que sitios web falsos de Ledger habían aparecido en los resultados de búsqueda de Google, con atacantes intentando recopilar frases de recuperación de billetera a través de páginas que impersonaban software legítimo.

Otro incidente vio a atacantes utilizando correos electrónicos de phishing de Trezor e infraestructura de terceros comprometida para distribuir mensajes de seguridad fraudulentos a clientes de criptomonedas.

Sin embargo, un servidor PHP comprometido podría permitir potencialmente a los atacantes alterar el contenido del sitio web o introducir solicitudes fraudulentas de inicio de sesión y conexión de billetera, dependiendo del acceso obtenido.

Hasta el momento de la publicación, no ha habido informes confirmados de incidentes de seguridad que afecten a intercambios de criptomonedas o billeteras de usuarios directamente vinculados a las vulnerabilidades de PHP recién divulgadas.

El Centro Canadiense de Ciberseguridad ha instado a las organizaciones que operan aplicaciones PHP expuestas a Internet a identificar instalaciones vulnerables y aplicar las actualizaciones de seguridad disponibles de inmediato.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.