CZ warnte Nutzer von Kryptowährungen zur Vorsicht, nachdem zwei PHP-Schwachstellen bekannt wurden, die jeweils mit 9,2 von 10 bewertet wurden.
PHP veröffentlichte am 21. Oktober Patches, während Cybersicherheitsbehörden Organisationen angesichts von Berichten über aktive Ausnutzung dazu aufforderten, anfällige Systeme zu aktualisieren.
Binance-Gründer Changpeng Zhao hat Nutzer von Kryptowährungen zu Vorsicht beim Besuch von Websites aufgerufen, nachdem zwei kritische Schwachstellen in PHP entdeckt wurden, einer Programmiersprache, die häufig zur Entwicklung von Websites und Online-Anwendungen eingesetzt wird.
In einer am 21. Oktober veröffentlichten Warnung wies Zhao auf die Schwachstellen CVE-2026-109618 und CVE-2026-109619 hin und warnte, dass Website-Administratoren möglicherweise nicht die neuesten Sicherheitsupdates installiert haben.
Nenn mich paranoid, aber sei in den nächsten Tagen beim Besuch JEDER Website besonders vorsichtig, denn manche Webadministratoren sind nicht immer auf dem neuesten Stand, was Sicherheitsupdates angeht. Für PHP, die Programmiersprache fürs Web, wurden zwei Schwachstellen (CVE-2026-109618 und CVE-2026-109619) gemeldet. Sie betreffen Server, auf denen beliebte Anwendungen wie WordPress und Magento laufen. Die Patches wurden am 21. Oktober 2026 veröffentlicht, nachdem Details vorzeitig durchgesickert waren. Kurz nach der Offenlegung wurde bestätigt, dass die Schwachstellen bereits aktiv ausgenutzt wurden. Daraufhin setzten IT-Teams rasch WAF-Schutzmaßnahmen um und spielten Patches ein, denn nicht authentifizierte Angriffe könnten besuchte Websites zu Einfallstoren für den Diebstahl von Zugangsdaten oder Angriffe auf Geräte machen. Bleibt SAFU!
— CZ BNB (@cz_binance) 21. Oktober 2026
Die Schwachstellen haben einen Schweregrad von 9,2 von 10 und könnten Angreifern ermöglichen, ohne Authentifizierung schädlichen Code auf betroffenen Servern auszuführen. Dadurch könnten Angreifer Zugriff auf Serverdateien oder Datenbanken erhalten und Inhalte von Websites verändern.
Notfall-Sicherheitsupdates veröffentlicht
Das PHP-Entwicklungsteam veröffentlichte am 21. Oktober Sicherheitsupdates und forderte Administratoren auf, ihre Systeme umgehend zu aktualisieren. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
Laut dem offiziellen PHP-Sicherheitshinweis betrifft eine der Schwachstellen eine Speicherbeschädigung, die auftritt, wenn dem System der Arbeitsspeicher ausgeht. Bei der anderen bleiben interne Daten zugänglich, nachdem ihr Speicher freigegeben wurde. Beide Fehler könnten unter bestimmten betroffenen Konfigurationen die Ausführung von Code aus der Ferne ermöglichen.
Die Sicherheitsbedenken haben Warnungen von staatlichen Cybersicherheitsbehörden ausgelöst. Die Agentur der Europäischen Union für Cybersicherheit und weitere europäische Stellen forderten Organisationen auf, betroffene Systeme zu ermitteln und die verfügbaren Patches einzuspielen. Auch das neuseeländische National Cyber Security Centre meldete, von aktiver Ausnutzung der Schwachstellen zu wissen.
Für Kryptowährungsnutzer besteht die Sorge, dass Angreifer, die eine Website kompromittieren, deren Inhalte verändern oder betrügerische Aufforderungen zum Verbinden einer Wallet und gefälschte Anmeldeseiten einfügen könnten. Die Schwachstellen betreffen jedoch in erster Linie Webserver. Der Besuch einer PHP-basierten Website kompromittiert nicht automatisch das Gerät oder die Krypto-Wallet eines Besuchers.
Das PHP-Team erklärte, dass eine Aktualisierung die einzige vollständige Lösung sei. Administratoren, die ältere, nicht mehr unterstützte PHP-Versionen verwenden, müssen möglicherweise ein Upgrade durchführen oder geeignete Korrekturen von ihren Softwareanbietern beziehen.
Bis zum 22. Oktober gab es Berichte über eine Ausnutzung der Schwachstellen. In den geprüften Quellen war jedoch kein bestätigter Vorfall bekannt, der diese Schwachstellen direkt mit einem Sicherheitsvorfall bei einer Kryptobörse oder Verlusten von Nutzer-Wallets in Verbindung brachte.