Des vulnérabilités critiques dans PHP mettent en danger l’infrastructure Web3
Deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619, affichent un score CVSS v4.0 de 9,2 et pourraient permettre l’exécution de code à distance sans authentification sur des services PHP accessibles publiquement. Les honeypots d’Amazon ont détecté de possibles tentatives d’exploitation dès le 17 octobre. Les détails des vulnérabilités ont fuité avant la publication par l’équipe PHP de correctifs d’urgence, le 21 octobre, en avance sur le calendrier prévu.
Les failles touchent les versions de PHP allant de 5.4 à 8.5.11. SlowMist a relevé des traces évidentes de PHP sur 793 des 1 488 domaines liés aux cryptomonnaies qu’elle a analysés, soit environ 53,3 %. Cela indique l’utilisation de PHP, mais ne confirme ni une exposition aux failles ni une compromission. Les infrastructures Web3 à risque peuvent inclure des sites web, des API, des pages d’airdrop, des panneaux d’administration, des intégrations de paiement et des services de portefeuilles hébergés. Une intrusion sur un serveur pourrait exposer des identifiants ou permettre de modifier des pages afin de tromper les utilisateurs et de les amener à signer des transactions malveillantes. Elle ne compromet toutefois pas directement les contrats intelligents, les portefeuilles ou les clés privées.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les projets devraient effectuer la mise à niveau sans tarder, examiner les systèmes exposés et renouveler les identifiants en cas de suspicion de compromission. PHP 8.1 et les versions antérieures doivent être migrées vers des versions prises en charge. Des mesures temporaires peuvent réduire certaines voies d’attaque, mais l’application des correctifs est la solution définitive. Le risque concerne la sécurité Web3 hors chaîne ; les rapports n’établissent pas que des actifs crypto ont été perdus et ne justifient pas, à eux seuls, des retraits en raison de ces vulnérabilités.
Neutral
Ces vulnérabilités représentent un risque opérationnel sérieux pour les entreprises du Web3, mais les rapports ne désignent aucune cryptomonnaie en particulier et n’apportent aucune preuve de pertes ni d’impact direct sur les protocoles blockchain. Il n’existe donc pas de fondement clair pour prévoir une évolution à la hausse ou à la baisse du cours d’une monnaie donnée ; l’impact attendu sur les prix des cryptomonnaies est neutre. À court terme, les traders pourraient réagir avec prudence aux alertes de sécurité, surveiller les plateformes concernées et examiner attentivement les demandes de transaction. Une éventuelle réaction du marché devrait davantage se limiter aux services touchés que provoquer une évolution générale de la valorisation des cryptomonnaies. À plus long terme, une exploitation réussie des vulnérabilités ou des pertes d’actifs confirmées pourraient affaiblir la confiance dans les projets concernés et accroître la pression vendeuse sur leurs jetons. L’application rapide de correctifs et la gestion des incidents permettraient de limiter ce risque. Les informations liées à la sécurité peuvent accroître la volatilité, mais l’utilisation de PHP à elle seule ne confirme pas qu’un système est vulnérable, et les rapports ne justifient pas de supposer que des fonds ou des contrats intelligents ont été compromis.