El fundador de Binance, CZ, advierte a los usuarios de criptomonedas sobre fallas críticas de seguridad en PHP

En resumen
Changpeng Zhao, fundador de Binance, dijo a los usuarios de criptomonedas que tuvieran «mucho cuidado» al visitar cualquier sitio web tras descubrirse dos fallas críticas en PHP.
Las fallas, calificadas con un 9,2 sobre 10, podrían permitir que los atacantes ejecutaran código en servidores sin iniciar sesión.
PHP publicó parches de emergencia el 21 de octubre, después de que los detalles se filtraran en internet antes de tiempo.
Gobiernos de Europa, Australia y otros lugares desconectaron sitios web como medida de precaución.
Coinbase y BitGo dijeron que no se vieron afectados y que no se ha vinculado ninguna pérdida de criptomonedas con las fallas.
Changpeng Zhao, fundador de Binance, advirtió a los usuarios de criptomonedas que extremaran las precauciones en internet después de que se descubrieran dos fallas de seguridad críticas en PHP. PHP es un lenguaje de programación que impulsa millones de sitios web en todo el mundo.
«Llámame paranoico, pero ten mucho cuidado al visitar CUALQUIER sitio web durante los próximos días», escribió Zhao el 22 de octubre. Dijo que es posible que algunos administradores de sitios web no hayan instalado las últimas actualizaciones de seguridad.
Llámame paranoico, pero ten mucho cuidado al visitar CUALQUIER sitio web durante los próximos días, ya que algunos administradores web no siempre están al día con los parches de seguridad.
Se han reportado dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) en PHP, el lenguaje de programación web, que afectan a servidores…
— CZ  BNB (@cz_binance) 21 de octubre de 2026
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619, podrían permitir a los atacantes ejecutar código malicioso en servidores web sin iniciar sesión. Afectan a sitios creados con plataformas como WordPress, Magento, Drupal y Joomla.
Los fallos afectan a los servidores, no directamente a los visitantes. Visitar un sitio web basado en PHP no pone automáticamente en riesgo el dispositivo ni la cartera de criptomonedas de una persona.
Cómo funcionan los fallos de PHP
La Fundación PHP asignó a ambos fallos una puntuación de gravedad de 9,2 sobre 10. Se deben a debilidades en la forma en que PHP administra la memoria y gestiona los errores.
El primer fallo provoca daños en la memoria cuando PHP alcanza su límite de memoria. El segundo tiene que ver con memoria que sigue siendo accesible después de haberse liberado. La empresa de seguridad Cloudflare denominó al conjunto «PHP2Shell».
PHP publicó las versiones corregidas 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 21 de octubre. La fundación instó a los administradores a actualizar de inmediato.
Los detalles se filtraron en Internet el 20 de octubre con una puntuación de gravedad incorrecta de 10,0. La empresa de seguridad Calif publicó por error un video de prueba de concepto, y el equipo de PHP adelantó un día el lanzamiento.
La fundación admitió que había detectado los primeros indicios del problema en 2024. Calificó el retraso en solucionarlo de «fallo estructural» causado por su proceso de toma de decisiones y la falta de recursos.
Calif y OpenAI informaron más tarde del mismo problema, el 11 de agosto, lo que lo convirtió en una prioridad máxima.
Gobiernos y empresas de criptomonedas responden
El miércoles, organismos gubernamentales de todo el mundo desconectaron sitios web como medida preventiva. Los Países Bajos cerraron su servicio de identidad digital, mientras que Finlandia, Francia y Alemania desactivaron varios sitios públicos.
El sitio web de ciberseguridad de Australia también se vio afectado. La primera ministra japonesa, Sanae Takaichi, instó a los operadores de sitios web a aplicar el parche lo antes posible.
La Fundación Wikimedia desconectó algunos servicios de asistencia, lo que provocó la interrupción de algunas secciones de Wikipedia.
En el sector de las criptomonedas, la empresa de seguridad SlowMist encontró 793 dominios con huellas directas de PHP entre los 1.488 dominios relacionados con criptomonedas que revisó. Instó a los exchanges, las plataformas DeFi y los proveedores de carteras a actualizar sus sistemas.
Intersect, que apoya el desarrollo de Cardano, desconectó su Área de miembros mientras evaluaba su exposición. Coinbase dijo que no encontró instancias de PHP expuestas, y BitGo afirmó que su plataforma no se vio afectada.
La advertencia de Zhao se produce tras recientes ataques de phishing dirigidos a usuarios de criptomonedas, incluidos sitios web falsos de Ledger en los resultados de búsqueda de Google. Un servidor PHP pirateado podría permitir a los atacantes cambiar el contenido de un sitio o añadir solicitudes falsas para conectar carteras.
El equipo de seguridad de PHP afirmó que, en el momento de la divulgación, no había identificado ningún exploit funcional. Al cierre de esta edición, ningún incidente de seguridad en exchanges de criptomonedas ni en carteras de usuarios se había relacionado con los fallos.
La publicación El fundador de Binance, CZ, advierte a los usuarios de criptomonedas sobre fallos críticos de seguridad en PHP apareció primero en Blockonomi.