48 horas de PHP2Shell: RCE no autorizado con CVSS 9.2; CZ advierte el 21/10 a los usuarios de criptomonedas que tengan cuidado con los sitios de phishing
Este incidente no supone una amenaza directa para los activos on-chain; el riesgo se concentra en sitios web relacionados con las criptomonedas de menor alcance. Un servidor PHP comprometido puede convertirse en una página de phishing idéntica a la original, cuyo objetivo es engañar a los usuarios para que conecten sus billeteras y entreguen sus frases semilla.
Los datos muestran varios puntos:
1. Cronología de la vulnerabilidad y su corrección. El martes 20 de octubre se filtraron detalles por adelantado y, después, aparecieron un video de demostración y la afirmación errónea de que la puntuación era 10.0. El 21 de octubre a las 14:00 UTC, PHP publicó urgentemente las versiones 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, que corrigen CVE-2026-109618 y CVE-2026-109619 (CVSS 4.0: 9.2; ejecución remota de código sin autenticación). Cabe destacar que no hay versiones oficiales corregidas para PHP 8.1 ni anteriores.
2. Alcance. Según Unit42, hay aproximadamente 22,6 millones de instancias de PHP expuestas (datos de Cortex Xpanse). Tenable estima que entre 1,3 y 1,9 millones de hosts expuestos a Internet podrían verse afectados. Cloudflare ya había observado ataques tempranos el 21 de octubre y publicó reglas WAF de emergencia; el sitio web de Wordfence quedó fuera de servicio el 21 de octubre para aplicar medidas de mitigación; los tres foros de hackers BreachForums, DarkForums y PwnForums se desconectaron voluntariamente mientras instalaban los parches; y los sitios web de los parlamentos de Finlandia y los Países Bajos quedaron fuera de servicio.
3. Reacciones del mundo cripto. El 21 de octubre, CZ publicó una advertencia: «Durante los próximos días, tengan mucho cuidado al visitar cualquier sitio web», y señaló que la explotación confirmada en entornos reales puede convertir los sitios visitados en medios para robar credenciales. Nina Rong, responsable de crecimiento de BNB Chain, confirmó que su infraestructura no utiliza PHP. PancakeSwap publicó que su infraestructura no usa PHP y que los fondos de los usuarios están seguros. CZ compartió la publicación y comentó: «La mayoría de los proyectos debería, como mínimo, publicar una confirmación como esta». Al 22 de octubre, no había informes confirmados de que exchanges de criptomonedas o billeteras de usuarios hubieran sido afectados directamente por PHP2Shell.
Lo que se puede observar es que los parches se publicaron hace más de 24 horas y que instalar parches en la infraestructura es responsabilidad de sus operadores. Pero, durante los próximos días, si visitas un sitio relacionado con las criptomonedas, comprueba primero el dominio. Proteger tu frase semilla es responsabilidad tuya.
Opinión personal; no constituye asesoramiento de inversión.
#PHP2Shell #网络安全 $BNB $CAKE
Este incidente no supone una amenaza directa para los activos on-chain; el riesgo se concentra en sitios web relacionados con las criptomonedas de menor alcance. Un servidor PHP comprometido puede convertirse en una página de phishing idéntica a la original, cuyo objetivo es engañar a los usuarios para que conecten sus billeteras y entreguen sus frases semilla.
Los datos muestran varios puntos:
1. Cronología de la vulnerabilidad y su corrección. El martes 20 de octubre se filtraron detalles por adelantado y, después, aparecieron un video de demostración y la afirmación errónea de que la puntuación era 10.0. El 21 de octubre a las 14:00 UTC, PHP publicó urgentemente las versiones 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, que corrigen CVE-2026-109618 y CVE-2026-109619 (CVSS 4.0: 9.2; ejecución remota de código sin autenticación). Cabe destacar que no hay versiones oficiales corregidas para PHP 8.1 ni anteriores.
2. Alcance. Según Unit42, hay aproximadamente 22,6 millones de instancias de PHP expuestas (datos de Cortex Xpanse). Tenable estima que entre 1,3 y 1,9 millones de hosts expuestos a Internet podrían verse afectados. Cloudflare ya había observado ataques tempranos el 21 de octubre y publicó reglas WAF de emergencia; el sitio web de Wordfence quedó fuera de servicio el 21 de octubre para aplicar medidas de mitigación; los tres foros de hackers BreachForums, DarkForums y PwnForums se desconectaron voluntariamente mientras instalaban los parches; y los sitios web de los parlamentos de Finlandia y los Países Bajos quedaron fuera de servicio.
3. Reacciones del mundo cripto. El 21 de octubre, CZ publicó una advertencia: «Durante los próximos días, tengan mucho cuidado al visitar cualquier sitio web», y señaló que la explotación confirmada en entornos reales puede convertir los sitios visitados en medios para robar credenciales. Nina Rong, responsable de crecimiento de BNB Chain, confirmó que su infraestructura no utiliza PHP. PancakeSwap publicó que su infraestructura no usa PHP y que los fondos de los usuarios están seguros. CZ compartió la publicación y comentó: «La mayoría de los proyectos debería, como mínimo, publicar una confirmación como esta». Al 22 de octubre, no había informes confirmados de que exchanges de criptomonedas o billeteras de usuarios hubieran sido afectados directamente por PHP2Shell.
Lo que se puede observar es que los parches se publicaron hace más de 24 horas y que instalar parches en la infraestructura es responsabilidad de sus operadores. Pero, durante los próximos días, si visitas un sitio relacionado con las criptomonedas, comprueba primero el dominio. Proteger tu frase semilla es responsabilidad tuya.
Opinión personal; no constituye asesoramiento de inversión.
#PHP2Shell #网络安全 $BNB $CAKE