Kurzfassung

  • Binance-Gründer Changpeng Zhao riet Nutzern von Kryptowährungen, beim Besuch jeder Website „besonders vorsichtig“ zu sein, nachdem zwei kritische PHP-Schwachstellen entdeckt worden waren.

  • Die mit 9,2 von 10 bewerteten Schwachstellen könnten Angreifern ermöglichen, ohne Anmeldung Code auf Servern auszuführen.

  • PHP veröffentlichte am 21. Oktober Notfall-Patches, nachdem Details vorzeitig im Internet durchgesickert waren.

  • Regierungen in Europa, Australien und anderen Regionen nahmen vorsorglich Websites offline.

  • Coinbase und BitGo erklärten, sie seien nicht betroffen. Verluste im Kryptobereich wurden bislang nicht mit den Schwachstellen in Verbindung gebracht.

Binance-Gründer Changpeng Zhao hat Nutzer von Kryptowährungen nach der Entdeckung zweier kritischer Sicherheitslücken in PHP zu besonderer Vorsicht im Internet aufgerufen. PHP ist eine Programmiersprache, auf der Millionen Websites weltweit basieren.

„Nenn mich paranoid, aber sei in den nächsten Tagen beim Besuch JEDER Website besonders vorsichtig“, schrieb Zhao am 22. Oktober. Er sagte, dass manche Website-Administratoren möglicherweise noch nicht die neuesten Sicherheitsupdates installiert haben.

Nenn mich paranoid, aber sei in den nächsten Tagen beim Besuch JEDER Website besonders vorsichtig, da manche Webadministratoren Sicherheitsupdates nicht immer zeitnah einspielen.

Für PHP, die Programmiersprache fürs Web, wurden zwei Schwachstellen (CVE-2026-109618 und CVE-2026-109619) gemeldet, die Server betreffen …

— CZ 🔶 BNB (@cz_binance) 21. Oktober 2026

Die als CVE-2026-109618 und CVE-2026-109619 erfassten Schwachstellen könnten Angreifern ermöglichen, ohne Anmeldung schädlichen Code auf Webservern auszuführen. Betroffen sind Websites, die mit Plattformen wie WordPress, Magento, Drupal und Joomla erstellt wurden.

Die Schwachstellen betreffen Server, nicht unmittelbar Besucher. Der Besuch einer PHP-basierten Website bringt das Gerät oder die Krypto-Wallet einer Person nicht automatisch in Gefahr.

So funktionieren die PHP-Schwachstellen

Die PHP Foundation bewertete beide Schwachstellen mit einem Schweregrad von 9,2 von 10. Sie betreffen Schwächen bei der Speicherverwaltung und Fehlerbehandlung von PHP.

Die erste Schwachstelle betrifft eine Speicherbeschädigung, die auftritt, wenn PHP sein Speicherlimit erreicht. Bei der zweiten bleibt Speicher nach seiner Freigabe weiterhin erreichbar. Das Sicherheitsunternehmen Cloudflare bezeichnete die beiden Schwachstellen als „PHP2Shell“.

PHP veröffentlichte am 21. Oktober die gepatchten Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Die Foundation forderte Administratoren auf, sofort zu aktualisieren.

Am 20. Oktober wurden Details mit einer fälschlich angegebenen Schweregradbewertung von 10,0 online geleakt. Das Sicherheitsunternehmen Calif veröffentlichte dann versehentlich ein Video mit einem Proof of Concept, woraufhin das PHP-Team die Veröffentlichung um einen Tag vorverlegte.

Die Foundation räumte ein, erste Anzeichen des Problems bereits 2024 gesehen zu haben. Sie bezeichnete die Verzögerung bei der Behebung als „strukturelles Versagen“, das auf ihren Entscheidungsprozess und fehlende Ressourcen zurückzuführen sei.

Calif und OpenAI meldeten dasselbe Problem später, am 11. August, wodurch es höchste Priorität erhielt.

Regierungen und Kryptofirmen reagieren

Regierungsbehörden auf der ganzen Welt nahmen am Mittwoch vorsorglich Websites vom Netz. Die Niederlande stellten ihren digitalen Identitätsdienst ein, während Finnland, Frankreich und Deutschland mehrere öffentliche Websites deaktivierten.

Auch Australiens Cybersicherheitswebsite war betroffen. Japans Premierministerin Sanae Takaichi forderte Website-Betreiber auf, den Patch so schnell wie möglich einzuspielen.

Die Wikimedia Foundation nahm einige Supportdienste offline, wodurch Teile von Wikipedia ausfielen.

Im Kryptobereich fand das Sicherheitsunternehmen SlowMist unter den 1.488 untersuchten Kryptodomains 793 Domains mit direkten PHP-Fingerabdrücken. Es forderte Börsen, DeFi-Plattformen und Wallet-Anbieter auf, ein Upgrade durchzuführen.

Intersect, das die Entwicklung von Cardano unterstützt, nahm seinen Mitgliederbereich offline, während es seine Gefährdung überprüfte. Coinbase erklärte, keine exponierten PHP-Instanzen gefunden zu haben, und BitGo teilte mit, dass seine Plattform nicht betroffen sei.

Zhaos Warnung folgt auf jüngste Phishing-Angriffe auf Kryptonutzer, darunter gefälschte Ledger-Websites in den Google-Suchergebnissen. Ein gehackter PHP-Server könnte es Angreifern ermöglichen, Website-Inhalte zu ändern oder gefälschte Aufforderungen zum Verbinden einer Wallet einzufügen.

Das PHP-Sicherheitsteam erklärte, zum Zeitpunkt der Offenlegung keine funktionierenden Exploits identifiziert zu haben. Bis Redaktionsschluss wurden keine Sicherheitsvorfälle bei Kryptobörsen oder Nutzer-Wallets mit den Schwachstellen in Verbindung gebracht.

Der Beitrag „Binance-Gründer CZ warnt Kryptonutzer vor kritischen PHP-Sicherheitslücken“ erschien zuerst auf Blockonomi.

#CZ