Компания SlowMist в сфере блокчейн-безопасности выпустила критическое предупреждение для криптобирж, децентрализованных финансов (DeFi) платформ и провайдеров кошельков по всему миру после обнаружения двух серьезных уязвимостей в PHP — широко используемом серверном языке программирования, на котором, по имеющимся данным, работает около 70% всех сайтов. Уязвимости могут позволить злоумышленникам удаленно выполнять код на уязвимых серверах. Поскольку PHP лежит в основе такой значительной части интернета, слабости самого языка могут затронуть любое приложение, построенное на нем, независимо от качества кода самого приложения.

Согласно заявлению SlowMist, система анализа угроз MistEye провела глобальное сканирование инфраструктур на базе PHP в криптовалютном секторе после обнаружения уязвимостей.

Обе уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, получили оценку риска 9,2 из 10 по системе CVSS 4.0, что классифицирует их как критическую угрозу безопасности. CVSS — это стандартизированная система, используемая в индустрии безопасности для оценки серьезности уязвимостей; оценки 9,0 и выше относятся к наиболее тяжелой категории.

Выполнение кода без аутентификации

По словам экспертов по безопасности, обнаруженные уязвимости при определенных условиях могут позволить злоумышленникам выполнять вредоносный код на уязвимых серверах без какой-либо аутентификации. Аутентификация зачастую является первым барьером, ограничивающим доступ к функциям сервера, поэтому уязвимости, позволяющие ее обойти, рассматриваются с особой срочностью, особенно на системах, открытых для общего интернета.

Согласно раскрытым техническим деталям, первая уязвимость связана с тем, как PHP обрабатывает нехватку памяти, а вторая возникает из-за возможности использования устаревших данных памяти между запросами к серверу.

Успешная эксплуатация таких уязвимостей может позволить злоумышленникам скомпрометировать серверную инфраструктуру и получить доступ к конфиденциальным данным. Потенциальный риск считается особенно высоким для криптовалютных платформ, предоставляющих услуги, связанные с учетными записями пользователей и финансовыми операциями. Этот случай также подчеркивает, что безопасность в криптовалютном секторе выходит за рамки блокчейн-протоколов и включает обычную веб-инфраструктуру, лежащ в основе бирж, кошельков и DeFi-приложений.

Выпущены критические обновления безопасности

21 октября команда разработчиков PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для устранения двух уязвимостей в системе безопасности. Релизы охватывают все активно поддерживаемые ветки версий PHP, а это значит, что для каждой поддерживаемой ветки доступна соответствующая исправленная версия.

SlowMist призвала криптовалютные компании проверить версии PHP на своих серверах, уделив первоочередное внимание системам, доступным из интернета, и оперативно установить обновления безопасности.

Разработчики PHP добавили, что полагаться исключительно на ограничения доступа или временные меры безопасности недостаточно, и что применение соответствующих исправлений необходимо для комплексной защиты.

*Это не является инвестиционной рекомендацией.