Nanganganib ang imprastraktura ng Web3 dahil sa mga kritikal na kahinaan sa PHP
Dalawang kritikal na kahinaan sa PHP, CVE-2026-109618 at CVE-2026-109619, ang may CVSS v4.0 score na 9.2 at maaaring magbigay-daan sa remote code execution nang walang authentication sa mga PHP service na nakalantad sa publiko. Nakatukoy ang mga honeypot ng Amazon ng posibleng mga pagtatangkang pagsamantalahan ang mga ito noong Oktubre 17 pa. Tumagas ang mga detalye ng kahinaan bago naglabas ang PHP team ng mga agarang patch noong Oktubre 21, mas maaga kaysa sa nakatakdang petsa.
Apektado ng mga kahinaan ang PHP bersyon 5.4 hanggang 8.5.11. Nakakita ang SlowMist ng malinaw na mga palatandaan ng paggamit ng PHP sa 793 sa 1,488 crypto-related na domain na na-scan nito, o humigit-kumulang 53.3%. Ipinapakita nito ang paggamit ng PHP, hindi ang kumpirmadong pagkakalantad sa kahinaan o pagkakompromiso. Maaaring kabilang sa nanganganib na imprastraktura ng Web3 ang mga website, API, airdrop page, admin panel, integrasyon ng pagbabayad, at mga naka-host na serbisyo ng wallet. Maaaring maglantad ng mga kredensyal ang paglabag sa server o magbigay-daan sa pagbabago ng mga page upang malinlang ang mga user na pumirma sa mga mapaminsalang transaksyon. Gayunman, hindi nito direktang kinokompromiso ang mga smart contract, wallet, o pribadong key.
Ang mga patched release ay PHP 8.2.35, 8.3.36, 8.4.27, at 8.5.12. Dapat mag-upgrade agad ang mga proyekto, siyasatin ang mga nakalantad na sistema, at palitan ang mga kredensyal kung pinaghihinalaang may pagkakompromiso. Dapat ilipat ang PHP 8.1 at mas lumang mga bersyon sa mga sinusuportahang release. Maaaring mabawasan ng mga pansamantalang hakbang ang ilang paraan ng pag-atake, ngunit ang paglalapat ng patch ang tiyak na solusyon. Ang panganib ay para sa off-chain na seguridad ng Web3; hindi pinatutunayan ng mga ulat na may nawalang crypto asset, at hindi sapat na dahilan ang mga kahinaang ito lamang upang mag-withdraw ng mga asset.
Neutral
Nagdudulot ng seryosong panganib sa operasyon ng mga Web3 company ang mga kahinaang ito, ngunit walang tinutukoy na partikular na cryptocurrency ang mga ulat at wala ring ebidensiya ng pagkalugi o direktang epekto sa mga blockchain protocol. Dahil dito, walang malinaw na batayan para tumaya sa direksiyon ng presyo ng anumang coin, kaya neutral ang inaasahang epekto sa mga presyo ng crypto. Sa maikling panahon, maaaring maging maingat ang mga trader matapos makatanggap ng mga babala sa seguridad, subaybayan ang mga apektadong platform, at suriing mabuti ang mga prompt para sa transaksyon. Mas malamang na malimitahan sa mga apektadong serbisyo ang anumang reaksiyon ng merkado kaysa magdulot ng malawakang pagbabago sa halaga ng crypto. Sa mas mahabang panahon, maaaring pahinain ng matagumpay na pagsasamantala sa kahinaan o kumpirmadong pagkawala ng mga asset ang tiwala sa mga apektadong proyekto at magpalakas ng presyur sa pagbebenta ng kanilang mga token. Mababawasan ang panganib na iyon sa maagap na paglalapat ng mga patch at pagtugon sa insidente. Maaaring magpalaki ng volatility ang mga balita tungkol sa seguridad, ngunit hindi patunay ng kahinaan ng isang sistema ang paggamit lamang nito ng PHP, at walang batayan sa mga ulat para ipalagay na nakompromiso ang mga pondo o smart contract.