Kritik PHP açıkları Web3 altyapısını riske atıyor
İki kritik PHP güvenlik açığı olan CVE-2026-109618 ve CVE-2026-109619, CVSS v4.0’a göre 9,2 puan aldı ve herkese açık PHP hizmetlerinde kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına olanak tanıyabilir. Amazon’un honeypot sistemleri olası istismar girişimlerini 17 Ekim gibi erken bir tarihte tespit etti. Güvenlik açığı ayrıntıları, PHP ekibinin 21 Ekim’de, planlanandan önce acil yamaları yayımlamasından önce sızdırıldı.
Açıklar PHP’nin 5.4 ile 8.5.11 arasındaki sürümlerini etkiliyor. SlowMist, taradığı kripto para bağlantılı 1.488 alan adının 793’ünde, yaklaşık %53,3’ünde, PHP kullanıldığına dair doğrudan izler buldu. Bu, PHP kullanımına işaret eder; sistemlerin saldırıya açık olduğunu veya ihlal edildiğini doğrulamaz. Risk altındaki Web3 altyapısı web sitelerini, API’leri, airdrop sayfalarını, yönetim panellerini, ödeme entegrasyonlarını ve barındırılan cüzdan hizmetlerini içerebilir. Bir sunucunun ihlal edilmesi, kimlik bilgilerinin açığa çıkmasına veya kullanıcıları kötü amaçlı işlemleri imzalamaya ikna etmek için sayfaların değiştirilmesine yol açabilir; ancak akıllı sözleşmeleri, cüzdanları veya özel anahtarları doğrudan tehlikeye atmaz.
Düzeltilmiş sürümler PHP 8.2.35, 8.3.36, 8.4.27 ve 8.5.12’dir. Projeler vakit kaybetmeden yükseltme yapmalı, dışarıya açık sistemleri incelemeli ve ihlal şüphesi varsa kimlik bilgilerini değiştirmelidir. PHP 8.1 ve daha eski sürümler, desteklenen sürümlere geçirilmelidir. Geçici önlemler bazı saldırı yollarını azaltabilir; ancak kesin çözüm yamaları uygulamaktır. Risk, zincir dışı Web3 güvenliğiyle ilgilidir. Raporlar kripto varlıkların kaybedildiğini ortaya koymuyor ve yalnızca bu güvenlik açıkları nedeniyle varlıkların çekilmesini gerektirmiyor.
Neutral
Güvenlik açıkları Web3 şirketleri için ciddi bir operasyonel risk oluşturuyor; ancak raporlarda belirli bir kripto para belirtilmiyor ve kayıplara ya da blokzincir protokolleri üzerinde doğrudan bir etkiye ilişkin kanıt sunulmuyor. Bu nedenle herhangi bir coinin fiyat yönüne ilişkin öngörüde bulunmak için açık bir dayanak yok ve kripto fiyatları üzerindeki beklenen etkinin nötr olması bekleniyor. Kısa vadede yatırımcılar güvenlik uyarılarına temkinli yaklaşabilir, etkilenen platformları izleyebilir ve işlem taleplerini dikkatle inceleyebilir. Piyasadaki olası tepkinin, kripto değerlemelerinde geniş çaplı bir değişime yol açmaktan ziyade etkilenen hizmetlerle sınırlı kalması daha muhtemeldir. Uzun vadede, açıkların başarıyla istismar edilmesi veya varlık kayıplarının doğrulanması, etkilenen projelere duyulan güveni zayıflatabilir ve tokenları üzerindeki satış baskısını artırabilir. Yamaların hızla uygulanması ve olaylara etkili biçimde müdahale edilmesi bu riski sınırlar. Güvenlik haberleri oynaklığı artırabilir; ancak yalnızca PHP kullanılması bir sistemin savunmasız olduğunu doğrulamaz ve raporlar, fonların veya akıllı sözleşmelerin ele geçirildiğini varsaymayı haklı çıkarmaz.