PHP:n kriittiset haavoittuvuudet vaarantavat Web3-infrastruktuurin
Kahdelle kriittiselle PHP-haavoittuvuudelle, CVE-2026-109618 ja CVE-2026-109619, on annettu CVSS v4.0 -pisteet 9,2. Ne voivat mahdollistaa etäkoodin suorittamisen ilman tunnistautumista julkisesti saatavilla olevissa PHP-palveluissa. Amazonin honeypot-järjestelmät havaitsivat mahdollisia hyväksikäyttöyrityksiä jo 17. lokakuuta. Haavoittuvuuksien tiedot vuotivat ennen kuin PHP-tiimi julkaisi hätäkorjaukset 21. lokakuuta, suunniteltua aiemmin.
Haavoittuvuudet koskevat PHP-versioita 5.4–8.5.11. SlowMist havaitsi suoria merkkejä PHP:n käytöstä 793:ssa 1 488:sta skannaamastaan kryptovaluuttoihin liittyvästä verkkotunnuksesta eli noin 53,3 prosentissa. Tämä kertoo PHP:n käytöstä, mutta ei vahvista järjestelmien altistumista tai murtoa. Riskialttiiseen Web3-infrastruktuuriin voi kuulua verkkosivustoja, API-rajapintoja, airdrop-sivuja, hallintapaneeleita, maksujen integrointeja ja ylläpidettyjä lompakkopalveluja. Palvelimen murto voi paljastaa tunnistetietoja tai mahdollistaa sivujen muokkaamisen niin, että käyttäjät saadaan allekirjoittamaan haitallisia tapahtumia. Se ei kuitenkaan vaaranna suoraan älysopimuksia, lompakoita tai yksityisiä avaimia.
Korjatut versiot ovat PHP 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. Projektien tulisi päivittää viipymättä, tutkia ulospäin näkyvät järjestelmät ja vaihtaa tunnistetiedot, jos murtoa epäillään. PHP 8.1 ja sitä vanhemmat versiot tulisi siirtää tuettuihin versioihin. Väliaikaiset torjuntatoimet voivat vähentää joitakin hyökkäysreittejä, mutta korjausten asentaminen on varsinainen ratkaisu. Riski koskee Web3:n ketjun ulkopuolista tietoturvaa; ilmoitukset eivät osoita kryptovarojen menetyksiä eivätkä yksinään anna aihetta varojen nostamiseen.
Neutral
Haavoittuvuudet aiheuttavat Web3-yrityksille merkittävän operatiivisen riskin, mutta raporteissa ei nimetä tiettyä kryptovaluuttaa eikä esitetä näyttöä tappioista tai suorasta vaikutuksesta lohkoketjuprotokolliin. Siksi minkään kolikon hinnan suunnasta ei ole selkeitä perusteita tehdä ennustetta, ja vaikutuksen kryptohintoihin odotetaan olevan neutraali. Lyhyellä aikavälillä kauppiaat saattavat suhtautua tietoturvahälytyksiin varovaisesti, seurata vaikutuksen alaisia alustoja ja tarkastella tapahtumapyyntöjä huolellisesti. Mahdollinen markkinareaktio rajoittuu todennäköisemmin vaikutuksen alaisiin palveluihin kuin johtaa kryptovaluuttojen arvostusten laaja-alaiseen muutokseen. Pidemmällä aikavälillä haavoittuvuuksien onnistunut hyödyntäminen tai vahvistetut omaisuustappiot voivat heikentää luottamusta vaikutuksen alaisiin hankkeisiin ja lisätä niiden tokeneihin kohdistuvaa myyntipainetta. Nopeat korjauspäivitykset ja tehokas reagointi tietoturvapoikkeamiin rajoittaisivat tätä riskiä. Tietoturvauutiset voivat lisätä volatiliteettia, mutta PHP:n käyttö yksinään ei vahvista järjestelmän olevan haavoittuva, eivätkä raportit anna aihetta olettaa, että varoja tai älysopimuksia olisi vaarannettu.