Hay una cifra del informe de SlowMist del 23 de octubre que conviene destacar primero: su sistema de inteligencia sobre amenazas MistEye analizó 1488 dominios relacionados con las criptomonedas, de los cuales 793 presentaban una huella PHP directa, aproximadamente el 53,3 %. El problema no es PHP en sí, sino que las dos vulnerabilidades críticas reveladas en esta ocasión afectan precisamente a la «capa off-chain» de Web3.
◆ Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 obtuvieron ambas una puntuación CVSS v4.0 de 9,2, lo que las clasifica como críticas. Sin necesidad de una cuenta, una contraseña ni una clave API, el envío de solicitudes manipuladas a servicios PHP expuestos a Internet podría permitir ejecutar código arbitrario con los permisos del proceso del servidor web.
◆ Afectan a todas las versiones de PHP desde la 5.4 hasta la 8.5.11. Las versiones oficiales corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35. PHP 8.1 y las versiones anteriores ya no reciben soporte habitual del equipo principal, por lo que se recomienda migrar cuanto antes (PHP oficial, publicado el 21 de octubre).
◆ El calendario de publicación de los parches refleja la gravedad del caso: los detalles de las vulnerabilidades se filtraron el 20 de octubre, antes de su divulgación oficial, por lo que el equipo de seguridad de PHP adelantó la publicación de la versión urgente del 22 al 21 de octubre a las 14:00 (UTC). El equipo de inteligencia sobre amenazas de Amazon ya había observado intentos de explotación de php2shell en la red de honeypots MadPot el 17 de octubre, cuatro días antes de la divulgación pública.
◆ La cadena de ataque off-chain es muy directa: comprometer el servidor del sitio web del proyecto → alterar la página del frontend → inducir a los usuarios a firmar transacciones maliciosas → robar directamente sus activos. Que los contratos on-chain no tengan vulnerabilidades no significa que las partes off-chain que operan en torno a ellos sean seguras. Las páginas del frontend, las API, las páginas para reclamar airdrops, los paneles de administración y los servicios de monederos custodiados están dentro del alcance de la vulnerabilidad.
◆ La reacción de distintos países confirma la gravedad: el Centro Nacional de Ciberseguridad de los Países Bajos cerró sitios web de forma preventiva, mientras que la Oficina Presidencial de Corea del Sur convocó una reunión urgente sobre ciberseguridad y elevó el nivel de alerta. Según las estadísticas de W3Techs, el 69,3 % de los sitios web cuyo lenguaje de servidor puede identificarse utiliza PHP.
Cabe destacar que SlowMist también subraya que tener una huella PHP no significa que un sistema haya sido comprometido: el 53,3 % es una estadística de superficie expuesta, no una lista de víctimas. Sin embargo, para los equipos de los proyectos, el plazo para actuar es limitado: las medidas de mitigación temporales solo pueden reducir el riesgo de determinadas vías de ataque; aplicar el parche es la única solución definitiva. $BTC
#网络安全 #Web3安全 #慢雾
Opinión personal; no constituye asesoramiento de inversión.
◆ Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 obtuvieron ambas una puntuación CVSS v4.0 de 9,2, lo que las clasifica como críticas. Sin necesidad de una cuenta, una contraseña ni una clave API, el envío de solicitudes manipuladas a servicios PHP expuestos a Internet podría permitir ejecutar código arbitrario con los permisos del proceso del servidor web.
◆ Afectan a todas las versiones de PHP desde la 5.4 hasta la 8.5.11. Las versiones oficiales corregidas son la 8.5.12, la 8.4.27, la 8.3.36 y la 8.2.35. PHP 8.1 y las versiones anteriores ya no reciben soporte habitual del equipo principal, por lo que se recomienda migrar cuanto antes (PHP oficial, publicado el 21 de octubre).
◆ El calendario de publicación de los parches refleja la gravedad del caso: los detalles de las vulnerabilidades se filtraron el 20 de octubre, antes de su divulgación oficial, por lo que el equipo de seguridad de PHP adelantó la publicación de la versión urgente del 22 al 21 de octubre a las 14:00 (UTC). El equipo de inteligencia sobre amenazas de Amazon ya había observado intentos de explotación de php2shell en la red de honeypots MadPot el 17 de octubre, cuatro días antes de la divulgación pública.
◆ La cadena de ataque off-chain es muy directa: comprometer el servidor del sitio web del proyecto → alterar la página del frontend → inducir a los usuarios a firmar transacciones maliciosas → robar directamente sus activos. Que los contratos on-chain no tengan vulnerabilidades no significa que las partes off-chain que operan en torno a ellos sean seguras. Las páginas del frontend, las API, las páginas para reclamar airdrops, los paneles de administración y los servicios de monederos custodiados están dentro del alcance de la vulnerabilidad.
◆ La reacción de distintos países confirma la gravedad: el Centro Nacional de Ciberseguridad de los Países Bajos cerró sitios web de forma preventiva, mientras que la Oficina Presidencial de Corea del Sur convocó una reunión urgente sobre ciberseguridad y elevó el nivel de alerta. Según las estadísticas de W3Techs, el 69,3 % de los sitios web cuyo lenguaje de servidor puede identificarse utiliza PHP.
Cabe destacar que SlowMist también subraya que tener una huella PHP no significa que un sistema haya sido comprometido: el 53,3 % es una estadística de superficie expuesta, no una lista de víctimas. Sin embargo, para los equipos de los proyectos, el plazo para actuar es limitado: las medidas de mitigación temporales solo pueden reducir el riesgo de determinadas vías de ataque; aplicar el parche es la única solución definitiva. $BTC
#网络安全 #Web3安全 #慢雾
Opinión personal; no constituye asesoramiento de inversión.