חולשות קריטיות ב-PHP מסכנות את תשתית Web3

שתי חולשות קריטיות ב-PHP,‏ CVE-2026-109618 ו-CVE-2026-109619, קיבלו ציון CVSS v4.0 של 9.2 ועלולות לאפשר הרצת קוד מרחוק ללא אימות בשירותי PHP החשופים לציבור. מלכודות הדבש של Amazon זיהו ניסיונות ניצול אפשריים כבר ב-17 באוקטובר. פרטי החולשות דלפו לפני שצוות PHP פרסם תיקוני חירום ב-21 באוקטובר, מוקדם מהמתוכנן. הפגמים משפיעים על גרסאות PHP מ-5.4 ועד 8.5.11. ‏SlowMist מצאה סימנים ברורים לשימוש ב-PHP ב-793 מתוך 1,488 דומיינים הקשורים לקריפטו שנסרקו, כ-53.3%. הדבר מעיד על שימוש ב-PHP, אך לא על חשיפה מאומתת לחולשות או על פגיעה במערכות. תשתיות Web3 שעלולות להיות בסיכון כוללות אתרים, ממשקי API, דפי airdrop, לוחות ניהול, שילובי תשלומים ושירותי ארנקים מתארחים. פריצה לשרת עלולה לחשוף פרטי גישה או לאפשר שינוי של דפים כך שמשתמשים יוטעו לחתום על עסקאות זדוניות, אך היא אינה פוגעת ישירות בחוזים חכמים, בארנקים או במפתחות פרטיים. הגרסאות המתוקנות הן PHP 8.2.35, 8.3.36, 8.4.27 ו-8.5.12. על פרויקטים לשדרג בהקדם, לבדוק מערכות החשופות לציבור ולהחליף פרטי גישה אם קיים חשד לפגיעה. יש להעביר את PHP 8.1 ואת הגרסאות הישנות יותר לגרסאות נתמכות. אמצעי מיגון זמניים עשויים לצמצם חלק מנתיבי התקיפה, אך התקנת התיקון היא הפתרון הסופי. הסיכון נוגע לאבטחת Web3 מחוץ לשרשרת; הדיווחים אינם מוכיחים שנכסי קריפטו אבדו, ואין בהם כשלעצמם הצדקה למשיכת נכסים.