Firma zajmująca się bezpieczeństwem blockchain SlowMist wydała krytyczny alert dotyczący bezpieczeństwa dla giełd kryptowalut, zdecentralizowanych finansów (DeFi) i dostawców portfeli na całym świecie po odkryciu dwóch poważnych podatności w PHP, powszechnie używanym języku programowania server-side, który według doniesień obsługuje około 70 procent wszystkich stron internetowych. Luki mogą pozwolić atakującym na zdalne wykonanie kodu na podatnych serwerach. Ponieważ PHP stanowi podstawę tak dużej części sieci, słabości samego języka mogą wpłynąć na każdą aplikację na nim opartą, niezależnie od jakości jej własnego kodu.

Zgodnie ze stanowiskiem SlowMist, system wywiadu zagrożeń MistEye firmy przeprowadził globalne skanowanie infrastruktury opartej na PHP w sektorze kryptowalut po ujawnieniu podatności.

Obie luki, oznaczone jako CVE-2026-109618 i CVE-2026-109619, otrzymały wynik ryzyka 9,2 na 10 w systemie CVSS 4.0, co klasyfikuje je jako krytyczne zagrożenie bezpieczeństwa. CVSS to standaryzowana ramowa metoda używana w branży bezpieczeństwa do oceny wagi podatności, a wyniki 9,0 lub wyższe należą do najbardziej poważnej kategorii.

Wykonanie kodu bez uwierzytelniania

Według ekspertów ds. bezpieczeństwa podatności mogą, w określonych warunkach, pozwolić atakującym na wykonanie złośliwego kodu na podatnych serwerach bez konieczności uwierzytelniania. Uwierzytelnianie jest często pierwszą barierą ograniczającą dostęp do funkcji serwera, dlatego luki je omijające są traktowane ze szczególną pilnością, zwłaszcza w systemach dostępnych z publicznego internetu.

Szczegóły techniczne pokazują, że pierwsza podatność wynika ze sposobu, w jaki PHP obsługuje niedobory pamięci, natomiast druga z możliwości użycia przedawnionych danych pamięci między żądaniami serwera.

Jeśli zostaną skutecznie wykorzystane, luki mogą umożliwić atakującym przejęcie infrastruktury serwerowej i dostęp do wrażliwych danych. Potencjalne ryzyko uznaje się za szczególnie wysokie w przypadku platform kryptowalutowych świadczących usługi związane z kontami użytkowników i transakcjami finansowymi. To zdarzenie podkreśla również, że bezpieczeństwo w sektorze kryptowalut wykracza poza protokoły blockchain i obejmuje tradycyj infrastrukturę internetową stanowiącą podstawę giełd, portfeli i aplikacji DeFi.

Wydano krytyczne aktualizacje bezpieczeństwa

21 października zespół deweloperów PHP wydał wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 w celu usunięcia dwóch podatności. Wydania obejmują aktywnie utrzymywane gałęzie wersji PHP, co oznacza, że operatorzy każdej wspieranej gałęzi mają dostęp do odpowiedniej poprawionej wersji.

SlowMist wezwał firmy kryptowalutowe do sprawdzenia wersji PHP działających na ich serwerach, priorytetowego traktowania systemów dostępnych z internetu oraz do niezwłocznego zainstalowania aktualizacji bezpieczeństwa.

Deweloperzy PHP dodali, że poleganie wyłącznie na ograniczeniach dostępu lub tymczasowych środkach bezpieczeństwa jest niewystarczające, a zastosowanie odpowiednich poprawek jest niezbędne dla kompleksowej ochrony.

*Nie stanowi porady inwestycyjnej.