Основатель Binance CZ предупреждает пользователей криптовалют о критических уязвимостях безопасности PHP

Основатель Binance Чанпэн Чжао предупредил пользователей криптовалют проявлять особую осторожность при посещении веб-сайтов в ближайшие дни после обнаружения двух критических уязвимостей в PHP, языке программирования, используемом миллионами веб-сайтов по всему миру.

Резюме

• Основатель Binance Чанпэн Чжао призвал пользователей криптовалют быть осторожными при посещении веб-сайтов после обнаружения двух критических уязвимостей PHP.
• Уязвимости могут позволить злоумышленникам выполнять вредоносный код на затронутых серверах, включая те, которые работают на популярных платформах, таких как WordPress и Magento.
• Разработчики PHP выпустили экстренные патчи безопасности 21 октября после того, как детали уязвимостей утекли до их запланированного раскрытия.
• Исследователи безопасности зафиксировали попытки эксплуатации, хотя ни один подтвержденный инцидент, затрагивающий криптовалютные биржи или кошельки пользователей, не был напрямую связан с этими уязвимостями.

В предупреждении от 22 октября Чжао указал на две уязвимости безопасности, обозначенные как CVE-2026-109618 и CVE-2026-109619, которые могут позволить злоумышленникам выполнять вредоносный код на уязвимых веб-серверах без необходимости аутентификации.

Назовите меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие дни, так как некоторые администраторы веб-сайтов не всегда обновляют свои патчи безопасности.

Две уязвимости (CVE-2026-109618 и CVE-2026-109619), сообщенные для PHP, языка веб-программирования, затрагивают серверы... --- CZ 🔶 BNB (@cz_binance) 21 октября 2026 года

"Назовите меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие дни," - написал Чжао, объясняя, что некоторые администраторы веб-сайтов могут не установить последние патчи безопасности.

Уязвимости затрагивают установки PHP, поддерживающие популярные платформы управления контентом и электронной коммерции, включая WordPress, Magento, Drupal и Joomla. Успешная эксплуатация может позволить злоумышленникам скомпрометировать инфраструктуру веб-сайта, получить доступ к конфиденциальной информации или изменить контент, предоставляемый посетителям.

Хотя предупреждение Чжао было адресовано пользователям веб-сайтов, основные уязвимости затрагивают серверы и не означают, что посещение любого веб-сайта на базе PHP автоматически компрометирует устройство или кошелек криптовалюты пользователя.

Уязвимости PHP позволяют злоумышленникам выполнять код удаленно

Согласно раскрытию информации о безопасности Фонда PHP, обе уязвимости получили оценку серьезности 9.2 из 10 и связаны с недостатками в системах управления памятью и обработки ошибок языка программирования.

Первая уязвимость, CVE-2026-109618, связана с повреждением памяти, когда PHP достигает установленного предела памяти во время определенных операций. При определенных условиях сервер может неправильно обрабатывать частично инициализированные данные, что позволяет злоумышленнику выполнять несанкционированный код.

Между тем, CVE-2026-109619 касается внутренних ссылок на память, которые остаются доступными после освобождения связанной памяти. Исследователи продемонстрировали, что злоумышленники могут использовать эту уязвимость для выполнения кода против приложений, работающих на затронутых серверах.

Фонд подтвердил, что эксплуатация возможна при стандартных конфигурациях серверов Apache с использованием mod_php, в то время как исследователи продемонстрировали дополнительные пути атаки, связанные с PHP-FPM.

После раскрытия информации разработчики выпустили исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 21 октября.

Официальное уведомление PHP призвало администраторов немедленно обновить свои системы, предупредив, что временные меры защиты не могут полностью устранить риск.

Старые установки PHP остаются проблемой, поскольку версии, выходящие за рамки поддерживаемых веток проекта, могут зависеть от исправлений безопасности, предоставляемых отдельно хостинг-провайдерами или поставщиками программного обеспечения.

Экстренные патчи были выпущены

Детали, касающиеся уязвимостей, начали распространяться до того, как команда безопасности PHP завершила свой запланированный процесс раскрытия.

Согласно фонду, два идентификатора уязвимости появились на онлайн-форумах и в социальных сетях 20 октября, сопровождаясь неверной оценкой серьезности 10.0 и неточным графиком выпуска.

Хотя первоначальная утечка не содержала технических инструкций по эксплуатации, компания безопасности Calif впоследствии по ошибке опубликовала видео с доказательством концепции, демонстрирующее атаки на несколько целей.

Копии продолжали циркулировать после удаления оригинального видео, что побудило исследователей разработать дополнительные демонстрации эксплуатации.

Команда PHP впоследствии перенесла запланированный выпуск безопасности с 22 октября на 21 октября, предоставив дистрибьюторам программного обеспечения время для подготовки обновлений, одновременно сокращая период, в течение которого техническая информация могла циркулировать без доступных патчей.

Фонд отдельно раскритиковал поставщика безопасности Chainguard за публикацию исправленных образов программного обеспечения более чем за шесть часов до согласованного выпуска, что потенциально позволяло злоумышленникам изучить изменения до их публичного раскрытия.

Компания безопасности Cloudflare развернула защиту брандмауэра до того, как уязвимости стали известны, работая вместе с исследователями из OpenAI, Wiz и других организаций, участвующих в раскрытии.

Cloudflare заявила, что уязвимости, собранные под общим названием PHP2Shell, могут подвергнуть затронутые серверы удаленному выполнению кода, нарушению обслуживания и раскрытию конфиденциальных данных.

Пользователи криптовалюты под угрозой из-за скомпрометированных веб-сайтов?

Предупреждение Чжао поступает в то время, как пользователи криптовалюты продолжают сталкиваться с фишинговыми кампаниями, которые полагаются на мошеннические веб-сайты и обманные запросы на учетные данные кошельков.

На прошлой неделе crypto.news сообщила, что фальшивые веб-сайты Ledger появились в результатах поиска Google, при этом злоумышленники пытались собрать фразы восстановления кошельков через страницы, выдающие себя за законное программное обеспечение.

В другом инциденте злоумышленники использовали фишинговые электронные письма Trezor и скомпрометированную инфраструктуру третьих лиц для распространения мошеннических сообщений о безопасности среди клиентов криптовалюты.

Тем не менее, скомпрометированный сервер PHP потенциально может позволить злоумышленникам изменять содержимое веб-сайта или вводить мошеннические запросы на вход и подключение кошелька, в зависимости от полученного доступа.

На момент публикации не было подтвержденных сообщений о инцидентах безопасности, затрагивающих криптовалютные биржи или пользовательские кошельки, напрямую связанные с недавно раскрытыми уязвимостями PHP.

Канадский центр кибербезопасности призвал организации, эксплуатирующие PHP-приложения, доступные в интернете, выявить уязвимые установки и немедленно применить доступные обновления безопасности.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.