Các lỗ hổng nghiêm trọng trong PHP đe dọa cơ sở hạ tầng Web3
Hai lỗ hổng nghiêm trọng của PHP, CVE-2026-109618 và CVE-2026-109619, có điểm CVSS v4.0 là 9,2 và có thể cho phép thực thi mã từ xa mà không cần xác thực trên các dịch vụ PHP công khai. Các honeypot của Amazon đã phát hiện những dấu hiệu có thể là nỗ lực khai thác từ ngày 17 tháng 10; thông tin chi tiết về lỗ hổng bị rò rỉ trước khi nhóm PHP phát hành bản vá khẩn cấp vào ngày 21 tháng 10, sớm hơn dự kiến.
Các lỗi này ảnh hưởng đến PHP phiên bản 5.4 đến 8.5.11. SlowMist phát hiện dấu hiệu trực tiếp cho thấy có sử dụng PHP trên 793 trong số 1.488 tên miền liên quan đến tiền mã hóa được quét, tương đương khoảng 53,3%; điều này cho thấy có sử dụng PHP, chứ không xác nhận hệ thống bị phơi lộ hay đã bị xâm nhập. Hạ tầng Web3 có nguy cơ có thể gồm trang web, API, trang airdrop, bảng quản trị, tích hợp thanh toán và dịch vụ ví được lưu trữ. Máy chủ bị xâm nhập có thể làm lộ thông tin xác thực hoặc cho phép sửa đổi trang để lừa người dùng ký giao dịch độc hại, nhưng không trực tiếp xâm phạm hợp đồng thông minh, ví hay khóa riêng tư.
Các bản PHP đã vá là 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Các dự án nên nhanh chóng nâng cấp, kiểm tra các hệ thống đang phơi lộ và đổi thông tin xác thực nếu nghi ngờ bị xâm nhập. PHP 8.1 và các phiên bản cũ hơn nên được chuyển sang phiên bản còn được hỗ trợ. Biện pháp giảm thiểu tạm thời có thể hạn chế một số đường tấn công, nhưng cài bản vá mới là cách khắc phục triệt để. Rủi ro liên quan đến bảo mật Web3 ngoài chuỗi; các báo cáo không xác nhận đã có tài sản mã hóa bị mất và cũng không phải là lý do để rút tiền chỉ vì những lỗ hổng này.
Neutral
Các lỗ hổng tạo ra rủi ro vận hành nghiêm trọng cho các công ty Web3, nhưng các báo cáo không nêu cụ thể đồng tiền mã hóa nào và cũng không đưa ra bằng chứng về tổn thất hay tác động trực tiếp đến các giao thức blockchain. Vì vậy, không có cơ sở rõ ràng để dự đoán xu hướng giá của bất kỳ đồng tiền nào, và tác động dự kiến lên giá tiền mã hóa là trung tính. Trong ngắn hạn, nhà giao dịch có thể thận trọng trước các cảnh báo bảo mật, theo dõi những nền tảng bị ảnh hưởng và xem xét kỹ các yêu cầu giao dịch. Nhiều khả năng phản ứng của thị trường sẽ chỉ giới hạn ở các dịch vụ bị ảnh hưởng, thay vì gây ra biến động trên diện rộng trong định giá tiền mã hóa. Về dài hạn, việc khai thác lỗ hổng thành công hoặc xác nhận tài sản bị thất thoát có thể làm suy giảm niềm tin vào các dự án bị ảnh hưởng và gia tăng áp lực bán đối với token của họ. Việc vá lỗi kịp thời và ứng phó sự cố hiệu quả sẽ hạn chế rủi ro đó. Tin tức về bảo mật có thể làm tăng biến động, nhưng chỉ riêng việc sử dụng PHP không xác nhận rằng một hệ thống dễ bị tấn công, và các báo cáo không đủ căn cứ để cho rằng tiền hoặc hợp đồng thông minh đã bị xâm phạm.