Компания SlowMist, специализирующаяся на безопасности блокчейна, выпустила критическое предупреждение о безопасности, касающееся криптовалютных бирж, платформ децентрализованных финансов (DeFi) и поставщиков криптовалютных кошельков по всему миру. Две серьезные уязвимости, обнаруженные в широко используемом языке программирования PHP, могут позволить злоумышленникам удаленно выполнять код на уязвимых серверах.
Согласно заявлению компании SlowMist, после обнаружения уязвимостей система анализа угроз MistEye провела глобальное сканирование инфраструктур на основе PHP в криптовалютном секторе.
Обе уязвимости, обозначенные как CVE-2026-109618 и CVE-2026-109619, получили оценку риска 9,2 из 10 по системе CVSS 4.0. Эта оценка указывает на то, что данные уязвимости представляют собой критическую угрозу безопасности.
По мнению экспертов по безопасности, обнаруженные уязвимости при определенных условиях могут позволить злоумышленникам выполнять вредоносный код на уязвимых серверах без необходимости аутентификации.
Согласно раскрытым техническим деталям, первая уязвимость связана с тем, как PHP обрабатывает нехватку памяти, а вторая — с возможностью использования устаревших данных в памяти между запросами к серверу.
Успешная эксплуатация подобных уязвимостей может позволить злоумышленникам скомпрометировать серверную инфраструктуру и получить доступ к конфиденциальным данным. Потенциальный риск считается особенно высоким для криптовалютных платформ, предоставляющих услуги, связанные с пользовательскими учетными записями и финансовыми транзакциями.
Выпущены критически важные обновления безопасности.
21 октября команда разработчиков PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для устранения двух уязвимостей безопасности.
SlowMist призвала криптовалютные компании пересмотреть версии PHP на своих серверах, отдавая приоритет системам, доступным через интернет, и оперативно устанавливать обновления безопасности.
PHP-разработчики добавили, что полагаться исключительно на ограничения доступа или временные меры безопасности недостаточно, и что для всесторонней защиты необходимо применять соответствующие исправления.
*Это не инвестиционная рекомендация.
