Основные выводы
- В новостях криптовалютного рынка появилось предупреждение от основателя Binance Чанпэна Чжао о двух критических уязвимостях в PHP.
- Разработчики PHP перенесли выпуск патчей безопасности на 21 октября после того, как подробности об уязвимостях просочились в сеть.
- Исследователи обнаружили попытки злоупотребления этими уязвимостями, однако подтверждённых инцидентов, связанных с кошельками или биржами, не зафиксировано.
Новости криптовалютного рынка привлекли внимание к вопросам безопасности веб-сайтов после того, как основатель Binance Чанпэн Чжао предупредил пользователей о двух критических уязвимостях PHP. 22 октября он призвал проявлять осторожность при работе в Интернете в ближайшие дни.
Эти уязвимости могут позволить злоумышленникам выполнять код на уязвимых серверах без аутентификации. Уязвимые установки поддерживают такие платформы, как WordPress, Magento, Drupal и Joomla.
21 октября разработчики выпустили экстренные исправления после того, как информация просочилась до запланированного обнародования. Исследователи зафиксировали попытки злоупотребления уязвимостями, при этом некоторым администраторам, возможно, ещё предстоит обновить свои системы. Ни один из подтверждённых инцидентов, связанных с криптовалютными биржами или кошельками пользователей, не был напрямую связан с недавно раскрытыми уязвимостями.
Предупреждение в криптовалютных новостях подчеркивает риски, связанные с незащищенными веб-сайтами
Чанпэн Чжао связал своё предупреждение в новостях о криптовалютах с администраторами веб-сайтов, которые, возможно, не установили последние обновления безопасности. Его предупреждение касалось веб-сайтов, которые злоумышленники могли бы взломать через уязвимые установки PHP.
PHP используется на миллионах веб-сайтов по всему миру. Уязвимости затрагивают серверную инфраструктуру, которую злоумышленники могут использовать для доступа к конфиденциальной информации или изменения контента.
Для читателей криптовалютных новостей важно понимать, где именно начинается атака. Посещение веб-сайта, использующего PHP, не приводит автоматически к взлому устройства или криптовалютного кошелька.
Однако злоумышленники, контролирующие сервер, могут изменить страницы входа в систему или инициировать мошеннические запросы на подключение к кошельку. Степень уязвимости будет зависеть от того, какой доступ им удастся получить.
Основатель Binance выступил с этим предупреждением на фоне фишинговых кампаний, направленных против пользователей криптовалют. В предыдущих сообщениях упоминались поддельные веб-сайты Ledger, на которых пытались выудить фразы восстановления, а также фишинговые письма, рассылаемые от имени Trezor через взломанную инфраструктуру.
Ни один из этих инцидентов не имеет связи с недавно обнаруженными уязвимостями в PHP.
Критические уязвимости PHP стали причиной ускоренного выпуска исправлений
Фонд PHP присвоил этим уязвимостям идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе получили оценку серьезности 9,2 из 10.
Первая уязвимость связана с повреждением памяти, возникающим при достижении PHP настроенного предела памяти во время определённых операций. При определённых условиях некорректная обработка частично инициализированных данных может привести к несанкционированному выполнению кода.
Вторая уязвимость связана с тем, что внутренние ссылки остаются доступными после того, как PHP освобождает соответствующую память. Исследователи продемонстрировали возможность выполнения кода в приложениях, работающих на уязвимых серверах.
Фонд подтвердил возможность эксплуатации уязвимости в стандартных конфигурациях Apache с использованием модуля mod_php. Исследователи также продемонстрировали пути атаки с использованием PHP-FPM.
21 октября разработчики выпустили версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. В официальном уведомлении содержался призыв к немедленному обновлению, поскольку временные меры защиты не позволяют полностью устранить риск.
Неподдерживаемые ветки PHP могут зависеть от отдельных исправлений, предоставляемых хостинг-провайдерами или поставщиками программного обеспечения.
Crypto News Alert отслеживает утечки информации до их скоординированного обнародования
Идентификаторы уязвимостей появились на форумах и в социальных сетях 20 октября. В этих публикациях была указана неверная оценка серьезности — 10,0 — и неточный график выпуска.
Первоначальная утечка не содержала технических инструкций по эксплуатации уязвимости. Предупреждение в криптовалютных новостях последовало за процессом раскрытия информации, который был сорван в связи с появлением в сети дополнительных материалов.
Впоследствии компания Calif, специализирующаяся на вопросах безопасности, по ошибке опубликовала видео с доказательством концепции. После его удаления в сети продолжали циркулировать копии, и исследователи разработали дополнительные демонстрации способов эксплуатации уязвимости.
Команда PHP перенесла запланированный на 22 октября релиз на один день раньше. Это дало дистрибьюторам программного обеспечения время на подготовку обновлений, одновременно сократив период, в течение которого технические подробности распространялись без доступных исправлений. Фонд также подверг критике компанию Chainguard за выпуск образов программного обеспечения с исправлениями более чем за шесть часов до скоординированного раскрытия информации.
В сообщении отмечается, что злоумышленники могли изучить эти изменения до их публичного обнародования. Компания Cloudflare внедрила меры защиты с помощью брандмауэра ещё до раскрытия информации, сотрудничая с исследователями из OpenAI, Wiz и других организаций.
Cloudflare назвала эти уязвимости PHP2Shell и указала на такие риски, как удалённое выполнение кода, сбой работы сервисов и утечка конфиденциальных данных.
Канадский центр кибербезопасности настоятельно призвал организации, использующие PHP-приложения, подключенные к Интернету, выявить уязвимые установки и установить доступные обновления.
