Основатель Binance Чанпэн Чжао предупредил пользователей криптовалют о необходимости проявлять повышенную осторожность при посещении веб-сайтов в ближайшие дни после обнаружения двух критических уязвимостей в PHP — языке программирования, используемом миллионами веб-сайтов по всему миру.
Краткое содержание
- Основатель Binance Чанпэн Чжао призвал пользователей криптовалют соблюдать осторожность при посещении веб-сайтов после обнаружения двух критических уязвимостей в PHP.
- Уязвимости могут позволить злоумышленникам выполнять вредоносный код на затронутых серверах, включая серверы, на которых работают популярные платформы, такие как WordPress и Magento.
- Разработчики PHP выпустили экстренные исправления безопасности 21 октября после того, как подробности об уязвимостях были раскрыты до их запланированного обнародования.
- Исследователи безопасности зафиксировали попытки эксплуатации, хотя ни один подтверждённый инцидент, затрагивающий криптовалютные биржи или кошельки пользователей, не был напрямую связан с этими уязвимостями.
В предупреждении от 22 октября Чжао указал на две уязвимости в системе безопасности, идентифицированные как CVE-2026-109618 и CVE-2026-109619, которые могут позволить злоумышленникам выполнять вредоносный код на уязвимых веб-серверах без необходимости аутентификации.
«Можете называть меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней», — написал Чжао, объяснив, что некоторые администраторы веб-сайтов, возможно, не установили последние исправления безопасности.
Уязвимости затрагивают установки PHP, поддерживающие популярные платформы управления контентом и электронной коммерции, включая WordPress, Magento, Drupal и Joomla. Успешная эксплуатация может позволить злоумышленникам скомпрометировать веб-инфраструктуру, получить доступ к конфиденциальной информации или изменить контент, отображаемый посетителям.
Хотя предупреждение Чжао было адресовано пользователям веб-сайтов, лежащие в их основе уязвимости затрагивают серверы и не означают, что посещение любого веб-сайта на базе PHP автоматически компрометирует устройство человека или его криптовалютный кошелёк.
Уязвимости PHP позволяют злоумышленникам удалённо выполнять код
Согласно раскрытию информации о безопасности PHP Foundation, обе уязвимости получили оценки серьёзности 9,2 из 10 и связаны со слабостями в системах управления памятью и обработки ошибок языка программирования.
Первая уязвимость, CVE-2026-109618, связана с повреждением памяти, когда PHP достигает настроенного лимита памяти во время определённых операций. При определённых условиях сервер может неправильно обрабатывать частично инициализированные данные, позволяя злоумышленнику выполнять несанкционированный код.
Тем временем CVE-2026-109619 касается внутренних ссылок на память, которые остаются доступными после освобождения связанной памяти. Исследователи продемонстрировали, что злоумышленники могут использовать эту слабость для выполнения кода в приложениях, работающих на затронутых серверах.
Фонд подтвердил, что эксплуатация была возможна при конфигурациях серверов Apache по умолчанию с использованием mod_php, в то время как исследователи продемонстрировали дополнительные пути атаки с участием PHP-FPM.
После раскрытия информации разработчики выпустили исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 21 октября.
Официальное уведомление PHP призвало администраторов немедленно обновиться, предупредив, что временные меры защиты не могут полностью устранить риск.
Более старые установки PHP остаются предметом беспокойства, поскольку версии за пределами поддерживаемых веток проекта могут зависеть от исправлений безопасности, предоставляемых отдельно хостинг-провайдерами или поставщиками программного обеспечения.
Выпущены экстренные исправления
Подробности об уязвимостях начали распространяться до того, как команда безопасности PHP завершила запланированный процесс раскрытия информации.
По данным фонда, два идентификатора уязвимостей появились на онлайн-форумах и в социальных сетях 20 октября вместе с некорректной оценкой серьёзности 10,0 и неточным графиком выпуска.
Хотя первоначальная утечка не содержала технических инструкций по эксплуатации, компания по безопасности Calif впоследствии по ошибке опубликовала видео с доказательством концепции, демонстрирующее атаки на несколько целей.
Копии продолжали распространяться после удаления оригинального видео, что побудило исследователей разработать дополнительные демонстрации эксплойтов.
Команда PHP впоследствии перенесла запланированный выпуск обновлений безопасности с 22 октября на 21 октября, дав распространителям программного обеспечения время подготовить обновления и сократив период, в течение которого техническая информация могла циркулировать без доступных патчей.
Фонд отдельно раскритиковал поставщика решений безопасности Chainguard за публикацию образов программного обеспечения с исправлениями более чем за шесть часов до скоординированного выпуска, что потенциально позволило злоумышленникам изучить изменения до публичного раскрытия.
Компания по безопасности Cloudflare развернула средства защиты межсетевого экрана до того, как уязвимости стали публичными, работая совместно с исследователями из OpenAI, Wiz и других организаций, участвовавших в раскрытии.
Cloudflare заявила, что уязвимости, collectively называемые PHP2Shell, могут подвергнуть затронутые серверы риску удалённого выполнения кода, нарушения работы сервисов и раскрытия конфиденциальных данных.
Под угрозой ли криптопользователи из-за скомпрометированных сайтов?
Предупреждение Чжао прозвучало в тот момент, когда пользователи криптовалют продолжают сталкиваться с фишинговыми кампаниями, которые полагаются на мошеннические веб-сайты и обманные запросы учётных данных кошельков.
На прошлой неделе crypto.news сообщил, что поддельные веб-сайты Ledger появились в результатах поиска Google, при этом злоумышленники пытались собирать фразы восстановления кошельков через страницы, выдающие себя за легитимное программное обеспечение.
В другом инциденте злоумышленники использовали фишинговые электронные письма Trezor и скомпрометированную стороннюю инфраструктуру для распространения мошеннических сообщений о безопасности среди клиентов криптовалют.
Однако скомпрометированный сервер PHP потенциально может позволить злоумышленникам изменять содержимое веб-сайта или внедрять мошеннические запросы на вход и подключение кошелька, в зависимости от полученного доступа.
На момент публикации не было подтверждённых сообщений об инцидентах безопасности, напрямую связанных с недавно раскрытыми уязвимостями PHP, затрагивающих криптовалютные биржи или кошельки пользователей.
Канадский центр кибербезопасности призвал организации, эксплуатирующие PHP-приложения, доступные из интернета, выявлять уязвимые установки и немедленно применять доступные обновления безопасности.
