ช่องโหว่ร้ายแรงใน PHP ทำให้โครงสร้างพื้นฐาน Web3 ตกอยู่ในความเสี่ยง

ช่องโหว่ร้ายแรงของ PHP สองรายการ ได้แก่ CVE-2026-109618 และ CVE-2026-109619 ได้คะแนน CVSS v4.0 อยู่ที่ 9.2 และอาจเปิดทางให้เรียกใช้โค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนบนบริการ PHP ที่เปิดให้เข้าถึงจากสาธารณะ ฮันนีพอตของ Amazon ตรวจพบความพยายามโจมตีที่อาจเกี่ยวข้องตั้งแต่วันที่ 17 ตุลาคม และรายละเอียดช่องโหว่รั่วไหลก่อนที่ทีม PHP จะออกแพตช์ฉุกเฉินในวันที่ 21 ตุลาคม ซึ่งเร็วกว่ากำหนด ช่องโหว่นี้ส่งผลต่อ PHP เวอร์ชัน 5.4 ถึง 8.5.11 SlowMist พบหลักฐานโดยตรงของการใช้ PHP ใน 793 จาก 1,488 โดเมนที่เกี่ยวข้องกับคริปโตเคอร์เรนซีที่ตรวจสอบ หรือประมาณ 53.3% ตัวเลขนี้บ่งชี้ว่ามีการใช้ PHP แต่ไม่ได้ยืนยันว่าระบบเปิดรับการโจมตีหรือถูกเจาะแล้ว โครงสร้างพื้นฐาน Web3 ที่มีความเสี่ยงอาจรวมถึงเว็บไซต์ API หน้าแอร์ดรอป แผงผู้ดูแลระบบ ระบบชำระเงินที่เชื่อมต่อ และบริการกระเป๋าเงินที่มีผู้ให้บริการโฮสต์ให้ การเจาะเซิร์ฟเวอร์อาจทำให้ข้อมูลรับรองรั่วไหล หรือเปิดทางให้แก้ไขหน้าเว็บเพื่อหลอกให้ผู้ใช้ลงนามในธุรกรรมที่เป็นอันตราย แต่ไม่ได้เจาะสัญญาอัจฉริยะ กระเป๋าเงิน หรือกุญแจส่วนตัวโดยตรง เวอร์ชันที่แก้ไขแล้ว ได้แก่ PHP 8.2.35, 8.3.36, 8.4.27 และ 8.5.12 โครงการต่าง ๆ ควรอัปเกรดโดยเร็ว ตรวจสอบระบบที่เปิดให้เข้าถึงจากภายนอก และเปลี่ยนข้อมูลรับรองหากสงสัยว่าถูกเจาะ ควรย้ายจาก PHP 8.1 และเวอร์ชันก่อนหน้าไปยังเวอร์ชันที่ยังได้รับการสนับสนุน มาตรการบรรเทาชั่วคราวอาจลดช่องทางการโจมตีได้บางส่วน แต่การติดตั้งแพตช์คือวิธีแก้ไขที่เด็ดขาด ความเสี่ยงนี้เกี่ยวข้องกับความปลอดภัยของ Web3 นอกบล็อกเชน รายงานไม่ได้ยืนยันว่ามีการสูญเสียสินทรัพย์คริปโต และไม่ได้เป็นเหตุให้ถอนสินทรัพย์เพียงเพราะมีช่องโหว่เหล่านี้