La società di sicurezza blockchain SlowMist ha emesso un avviso di sicurezza critico per gli exchange di criptovalute, le piattaforme di finanza decentralizzata (DeFi) e i provider di wallet di tutto il mondo, dopo la scoperta di due gravi vulnerabilità in PHP, il diffuso linguaggio di programmazione lato server che, secondo le segnalazioni, alimenta circa il 70 percento di tutti i siti web. Le falle potrebbero consentire agli attaccanti di eseguire codice in remoto sui server vulnerabili. Poiché PHP sta alla base di una quota così ampia del web, le debolezze del linguaggio stesso possono incidere su qualsiasi applicazione costruita su di esso, indipendentemente dalla qualità del codice dell'applicazione.

Secondo una dichiarazione di SlowMist, il sistema di threat intelligence MistEye della società ha condotto una scansione globale delle infrastrutture basate su PHP nel settore delle criptovalute, dopo la scoperta delle vulnerabilità.

Le due falle, identificate come CVE-2026-109618 e CVE-2026-109619, hanno ricevuto entrambe un punteggio di rischio di 9,2 su 10 secondo il sistema CVSS 4.0, una classificazione che le definisce una minaccia critica per la sicurezza. CVSS è il framework standardizzato utilizzato nel settore della sicurezza per valutare la gravità delle vulnerabilità, e i punteggi pari o superiori a 9,0 rientrano nella categoria più severa.

Esecuzione di codice senza autenticazione

Secondo gli esperti di sicurezza, le vulnerabilità potrebbero, in determinate condizioni, consentire agli attaccanti di eseguire codice dannoso sui server vulnerabili senza richiedere alcuna autenticazione. L'autenticazione è spesso la prima barriera che limita chi può accedere alle funzioni di un server, quindi le falle che la aggirano sono trattate con particolare urgenza, soprattutto sui sistemi esposti alla rete Internet pubblica.

I dettagli tecnici mostrano che la prima vulnerabilità deriva da come PHP gestisce le carenze di memoria, mentre la seconda nasce dalla possibilità di riutilizzare dati di memoria scaduti tra le richieste del server.

Se sfruttate con successo, le falle potrebbero permettere agli attaccanti di compromettere l'infrastruttura del server e accedere a dati sensibili. Il rischio potenziale è considerato particolarmente elevato per le piattaforme di criptovalute che offrono servizi legati agli account utente e alle transazioni finanziarie. L'episodio sottolinea inoltre che la sicurezza nel settore delle criptovalute va oltre i protocolli blockchain, comprendendo l'infrastruttura web convenzionale che sostiene exchange, wallet e applicazioni DeFi.

Rilasciati aggiornamenti di sicurezza critici

Il 21 ottobre il team di sviluppo di PHP ha rilasciato le versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per risolvere le due vulnerabilità di sicurezza. I rilasci coprono i rami di versione di PHP attivamente mantenuti, il che significa che gli operatori di ciascun ramo supportato dispongono di una versione corretta corrispondente.

SlowMist ha esortato le aziende di criptovalute a verificare le versioni di PHP in esecuzione sui propri server, dando priorità ai sistemi accessibili da Internet, e a installare tempestivamente gli aggiornamenti di sicurezza.

Gli sviluppatori di PHP hanno aggiunto che fare affidamento soltanto su restrizioni di accesso o misure di sicurezza temporanee è insufficiente, e che l'applicazione delle patch pertinenti essenziale per una protezione completa.

*Questo non è un consiglio di investimento.