Критичні вразливості PHP ставлять під загрозу інфраструктуру Web3
Дві критичні вразливості PHP — CVE-2026-109618 і CVE-2026-109619 — отримали оцінку CVSS v4.0 9,2 і можуть дозволити віддалене виконання коду без автентифікації в загальнодоступних PHP-сервісах. Honeypot-системи Amazon виявили можливі спроби експлуатації ще 17 жовтня, а відомості про вразливості витекли до того, як команда PHP випустила екстрені виправлення 21 жовтня — раніше запланованого терміну.
Уразливості зачіпають версії PHP від 5.4 до 8.5.11. SlowMist виявила прямі ознаки використання PHP у 793 з 1 488 перевірених доменів, пов’язаних із криптовалютами, — приблизно у 53,3%. Це свідчить про використання PHP, але не підтверджує, що системи доступні для атаки або вже скомпрометовані. До інфраструктури Web3, яка може бути під загрозою, належать вебсайти, API, сторінки аірдропів, панелі адміністрування, платіжні інтеграції та розміщені в хостингу сервіси гаманців. Злам сервера може призвести до витоку облікових даних або підміни сторінок, щоб обманом змусити користувачів підписати шкідливі транзакції, але він не компрометує безпосередньо смартконтракти, гаманці чи приватні ключі.
Виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Проєктам слід якомога швидше оновити програмне забезпечення, перевірити системи, доступні ззовні, і змінити облікові дані за підозри на злам. З PHP 8.1 і старіших версій слід перейти на версії, що підтримуються. Тимчасові заходи можуть обмежити деякі шляхи атаки, але остаточним рішенням є встановлення виправлень. Ризик стосується безпеки Web3 поза блокчейном; повідомлення не підтверджують втрату криптоактивів і не є підставою для виведення коштів лише через ці вразливості.
Neutral
Вразливості створюють серйозний операційний ризик для компаній Web3, але у звітах не названо жодної конкретної криптовалюти й не наведено доказів збитків або прямого впливу на блокчейн-протоколи. Отже, немає чітких підстав прогнозувати напрямок ціни будь-якої монети, а очікуваний вплив на ціни криптовалют є нейтральним. У короткостроковій перспективі трейдери можуть обережно реагувати на попередження про безпеку, стежити за платформами, яких це стосується, і ретельно перевіряти запити на проведення транзакцій. Найімовірніше, будь-яка реакція ринку обмежиться відповідними сервісами, а не спричинить широкі зміни оцінок криптовалют. У довгостроковій перспективі успішна експлуатація вразливостей або підтверджені втрати активів можуть послабити довіру до відповідних проєктів і посилити тиск продажу їхніх токенів. Своєчасне встановлення виправлень і реагування на інциденти обмежили б цей ризик. Новини про безпеку можуть підвищити волатильність, але саме лише використання PHP не підтверджує вразливість системи, а звіти не дають підстав припускати, що кошти чи смартконтракти були скомпрометовані.