Kerentanan kritis PHP membahayakan infrastruktur Web3
Dua kerentanan PHP yang kritis, CVE-2026-109618 dan CVE-2026-109619, memiliki skor CVSS v4.0 sebesar 9,2 dan dapat memungkinkan eksekusi kode jarak jauh tanpa autentikasi pada layanan PHP yang terekspos ke publik. Honeypot Amazon mendeteksi kemungkinan upaya eksploitasi sejak 17 Oktober, dan perincian kerentanan bocor sebelum tim PHP merilis patch darurat pada 21 Oktober, lebih awal dari jadwal.
Celah ini memengaruhi PHP versi 5.4 hingga 8.5.11. SlowMist menemukan sidik jari PHP yang jelas pada 793 dari 1.488 domain terkait kripto yang dipindai, sekitar 53,3%. Ini menunjukkan penggunaan PHP, bukan paparan terhadap kerentanan atau kompromi yang telah terkonfirmasi. Infrastruktur Web3 yang berisiko dapat mencakup situs web, API, halaman airdrop, panel admin, integrasi pembayaran, dan layanan dompet yang di-hosting. Pembobolan server dapat mengekspos kredensial atau memungkinkan manipulasi halaman yang menipu pengguna agar menandatangani transaksi berbahaya, tetapi tidak secara langsung membahayakan smart contract, dompet, atau kunci privat.
Rilis yang telah ditambal adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12. Proyek sebaiknya segera melakukan upgrade, menyelidiki sistem yang terekspos, dan mengganti kredensial jika dicurigai terjadi kompromi. PHP 8.1 dan versi yang lebih lama harus dimigrasikan ke rilis yang masih didukung. Mitigasi sementara dapat mengurangi sebagian jalur serangan, tetapi pemasangan patch adalah solusi definitif. Risikonya berkaitan dengan keamanan Web3 off-chain; laporan tersebut tidak membuktikan bahwa aset kripto telah hilang dan tidak menjadi alasan untuk menarik aset semata-mata karena kerentanan ini.
Neutral
Kerentanan tersebut menimbulkan risiko operasional yang serius bagi perusahaan Web3, tetapi laporan itu tidak menyebutkan mata uang kripto tertentu dan tidak memberikan bukti adanya kerugian atau dampak langsung pada protokol blockchain. Karena itu, tidak ada dasar yang jelas untuk memperkirakan arah harga koin mana pun, sehingga dampak yang diperkirakan terhadap harga kripto bersifat netral. Dalam jangka pendek, trader mungkin menyikapi peringatan keamanan dengan hati-hati, memantau platform yang terdampak, dan mencermati permintaan transaksi. Respons pasar kemungkinan lebih terbatas pada layanan yang terdampak daripada berupa perubahan luas pada valuasi kripto. Dalam jangka panjang, eksploitasi yang berhasil atau kerugian aset yang terkonfirmasi dapat melemahkan kepercayaan terhadap proyek yang terdampak dan meningkatkan tekanan jual atas tokennya. Penambalan kerentanan dan penanganan insiden yang cepat akan membatasi risiko tersebut. Berita keamanan dapat meningkatkan volatilitas, tetapi penggunaan PHP saja tidak membuktikan bahwa suatu sistem rentan, dan laporan tersebut tidak membenarkan asumsi bahwa dana atau smart contract telah disusupi.