Kerentanan kritikal dalam PHP mengancam infrastruktur Web3
Dua kerentanan PHP kritikal, CVE-2026-109618 dan CVE-2026-109619, mempunyai skor CVSS v4.0 sebanyak 9.2 dan boleh membolehkan pelaksanaan kod jauh tanpa pengesahan pada perkhidmatan PHP yang terdedah kepada umum. Honeypot Amazon mengesan kemungkinan cubaan eksploitasi seawal 17 Oktober, dan butiran kerentanan bocor sebelum pasukan PHP mengeluarkan tampalan kecemasan pada 21 Oktober, lebih awal daripada jadual.
Kelemahan ini menjejaskan PHP versi 5.4 hingga 8.5.11. SlowMist menemui cap jari PHP yang jelas pada 793 daripada 1,488 domain berkaitan kripto yang diimbas, kira-kira 53.3%. Ini menunjukkan penggunaan PHP, bukannya pendedahan atau pencerobohan yang telah disahkan. Infrastruktur Web3 yang berisiko mungkin merangkumi laman web, API, halaman airdrop, panel pentadbir, integrasi pembayaran dan perkhidmatan dompet yang dihoskan. Pencerobohan pelayan boleh mendedahkan kelayakan log masuk atau membolehkan pengubahan halaman yang memperdaya pengguna supaya menandatangani transaksi berbahaya, tetapi ia tidak secara langsung menjejaskan kontrak pintar, dompet atau kunci peribadi.
Keluaran yang telah ditampal ialah PHP 8.2.35, 8.3.36, 8.4.27 dan 8.5.12. Projek perlu menaik taraf dengan segera, menyiasat sistem yang terdedah dan menukar kelayakan jika pencerobohan disyaki. PHP 8.1 dan versi lebih lama perlu dipindahkan kepada keluaran yang masih disokong. Mitigasi sementara mungkin mengurangkan beberapa laluan serangan, tetapi pemasangan tampalan ialah penyelesaian muktamad. Risiko ini melibatkan keselamatan Web3 luar rantaian; laporan tersebut tidak membuktikan bahawa aset kripto telah hilang dan tidak mewajarkan pengeluaran aset semata-mata disebabkan kerentanan ini.
Neutral
Kerentanan ini menimbulkan risiko operasi yang serius kepada syarikat Web3, tetapi laporan tersebut tidak mengenal pasti mata wang kripto tertentu dan tidak memberikan bukti kerugian atau kesan langsung terhadap protokol blockchain. Oleh itu, tiada asas yang jelas untuk membuat ramalan arah harga bagi mana-mana syiling, maka kesan yang dijangka terhadap harga kripto adalah neutral. Dalam jangka pendek, pedagang mungkin bertindak berhati-hati terhadap amaran keselamatan, memantau platform yang terjejas dan meneliti permintaan transaksi. Sebarang tindak balas pasaran lebih berkemungkinan tertumpu pada perkhidmatan yang terjejas berbanding perubahan meluas dalam penilaian kripto. Dalam jangka panjang, eksploitasi yang berjaya atau kerugian aset yang disahkan boleh melemahkan keyakinan terhadap projek yang terjejas dan meningkatkan tekanan jualan terhadap tokennya. Penampalan segera dan tindak balas insiden akan mengehadkan risiko tersebut. Berita keselamatan boleh meningkatkan turun naik, tetapi penggunaan PHP sahaja tidak mengesahkan bahawa sesuatu sistem itu terdedah, dan laporan tersebut tidak memberikan alasan untuk mengandaikan bahawa dana atau kontrak pintar telah dikompromi.