Kritische PHP-Schwachstellen gefährden die Web3-Infrastruktur
Zwei kritische PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, haben CVSS-v4.0-Werte von 9,2 und könnten unauthentifizierte Remote-Code-Ausführung auf öffentlich erreichbaren PHP-Diensten ermöglichen. Die Honeypots von Amazon erfassten mögliche Ausnutzungsversuche bereits am 17. Oktober. Details zu den Schwachstellen gelangten an die Öffentlichkeit, bevor das PHP-Team am 21. Oktober außerplanmäßige Notfall-Patches veröffentlichte.
Betroffen sind PHP-Versionen von 5.4 bis einschließlich 8.5.11. SlowMist fand auf 793 der 1.488 gescannten kryptobezogenen Domains eindeutige PHP-Merkmale – etwa 53,3 Prozent. Das weist auf die Verwendung von PHP hin, belegt jedoch weder eine bestätigte Anfälligkeit noch eine Kompromittierung. Zu den gefährdeten Web3-Infrastrukturen können Websites, APIs, Airdrop-Seiten, Admin-Oberflächen, Zahlungsintegrationen und gehostete Wallet-Dienste gehören. Ein Servereinbruch könnte Zugangsdaten offenlegen oder Änderungen an Seiten ermöglichen, die Nutzer dazu verleiten, schädliche Transaktionen zu signieren. Smart Contracts, Wallets oder private Schlüssel werden dadurch jedoch nicht unmittelbar kompromittiert.
Die gepatchten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Projekte sollten umgehend aktualisieren, exponierte Systeme untersuchen und bei Verdacht auf eine Kompromittierung Zugangsdaten ändern. PHP 8.1 und ältere Versionen sollten auf unterstützte Releases migriert werden. Vorübergehende Gegenmaßnahmen können einige Angriffswege einschränken, doch das Einspielen des Patches ist die definitive Lösung. Das Risiko betrifft die Off-Chain-Sicherheit von Web3. Die Berichte belegen weder einen Verlust von Kryptowerten noch rechtfertigen sie allein wegen dieser Schwachstellen Abhebungen.
Neutral
Die Schwachstellen stellen ein erhebliches Betriebsrisiko für Web3-Unternehmen dar. In den Berichten wird jedoch keine bestimmte Kryptowährung genannt, und es gibt weder Belege für Verluste noch für direkte Auswirkungen auf Blockchain-Protokolle. Daher gibt es keine klare Grundlage für eine Prognose zur Kursrichtung einer bestimmten Coin; die erwarteten Auswirkungen auf die Kryptopreise sind neutral. Kurzfristig könnten Händler auf Sicherheitswarnungen vorsichtig reagieren, betroffene Plattformen beobachten und Transaktionsaufforderungen genau prüfen. Eine mögliche Marktreaktion dürfte eher auf die betroffenen Dienste beschränkt bleiben, statt zu einer breiten Veränderung der Bewertungen von Kryptowährungen zu führen. Langfristig könnten eine erfolgreiche Ausnutzung der Schwachstellen oder bestätigte Vermögensverluste das Vertrauen in die betroffenen Projekte schwächen und den Verkaufsdruck auf ihre Token erhöhen. Zeitnahe Sicherheitsupdates und eine wirksame Reaktion auf Vorfälle würden dieses Risiko begrenzen. Sicherheitsmeldungen können die Volatilität erhöhen, aber die bloße Verwendung von PHP bestätigt nicht, dass ein System verwundbar ist. Die Berichte rechtfertigen auch nicht die Annahme, dass Gelder oder Smart Contracts kompromittiert wurden.