La société de sécurité blockchain SlowMist a émis une alerte de sécurité critique à l'attention des plateformes d'échange de cryptomonnaies, des plateformes de finance décentralisée (DeFi) et des fournisseurs de portefeuilles du monde entier après la découverte de deux vulnérabilités graves dans PHP, le langage de programmation côté serveur largement utilisé qui alimenterait environ 70 % de tous les sites web. Ces failles pourraient permettre à des attaquants d'exécuter du code à distance sur des serveurs vulnérables. Étant donné que PHP soutient une si grande partie du web, les faiblesses du langage lui-même peuvent affecter toute application construite dessus, indépendamment de la qualité du code de l'application.

Selon un communiqué de SlowMist, le système de renseignement sur les menaces MistEye de la société a réalisé un scan mondial des infrastructures basées sur PHP dans le secteur des cryptomonnaies après la découverte des vulnérabilités.

Les deux failles, identifiées comme CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score de risque de 9,2 sur 10 selon le système CVSS 4.0, une classification qui les qualifie de menace de sécurité critique. CVSS est le cadre normalisé utilisé dans l'industrie de la sécurité pour évaluer la gravité des vulnérabilités, et les scores de 9,0 ou plus relèvent de sa catégorie la plus sévère.

Exécution de code sans authentification

Selon les experts en sécurité, les vulnérabilités pourraient, dans certaines conditions, permettre à des attaquants d'exécuter du code malveillant sur des serveurs vulnérables sans nécessiter aucune authentification. L'authentification constitue souvent la première barrière limitant l'accès aux fonctions d'un serveur ; les failles qui la contournent sont donc traitées avec une urgence particulière, notamment sur les systèmes exposés à Internet public.

Les détails techniques révèlent que la première vulnérabilité provient de la manière dont PHP gère les pénuries de mémoire, tandis que la seconde découle de la possibilité de réutiliser des données mémoire expirées entre les requêtes serveur.

En cas d'exploitation réussie, ces failles pourraient permettre à des attaquants de compromettre l'infrastructure serveur et d'accéder à des données sensibles. Le risque potentiel est considéré comme particulièrement élevé pour les plateformes de cryptomonnaies fournissant des services impliquant des comptes utilisateurs et des transactions financières. Cet épisode souligne également que la sécurité dans le secteur des cryptomonnaies dépasse les protocoles blockchain pour englober l'infrastructure web conventionnelle qui soutient les plateformes d'échange, les portefeuilles et les applications DeFi.

Mises à jour de sécurité critiques publiées

Le 21 octobre, l'équipe de développement de PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger les deux vulnérabilités de sécurité. Ces versions couvrent les branches de PHP activement maintenues, ce qui signifie que les opérateurs de chaque branche prise en charge disposent d'une version corrigée correspondante.

SlowMist a exhorté les entreprises de cryptomonnaies à vérifier les versions de PHP exécutées sur leurs serveurs, en priorisant les systèmes accessibles via Internet, et à installer rapidement les mises à jour de sécurité.

Les développeurs de PHP ont ajouté que se fier uniquement à des restrictions d'accès ou à des mesures de sécurité temporaires est insuffisant, et que l'application des correctifs concernés est essentielle pour une protection complète.

*Ceci ne constitue pas un conseil en investissement.