Ce matin, ce qu’il faut regarder, ce n’est pas le graphique en chandeliers, mais cette faille notée 9,2
Deux vulnérabilités graves viennent d’être découvertes dans PHP (CVE-2026-109618 et CVE-2026-109619), avec un score CVSS de 9,2/10. Des attaquants peuvent exécuter du code à distance sans se connecter. Les chercheurs les ont baptisées « PHP2Shell ». Le problème, c’est que les détails des failles ont fuité avant la publication du correctif et des tentatives d’exploitation ont déjà été repérées (selon Cloudflare). Le correctif d’urgence n’a été publié que le 21 octobre, et de nombreux sites n’ont pas encore eu le temps de l’installer.
Pourquoi le secteur crypto doit s’en préoccuper (faits) : SlowMist a analysé 1 488 domaines du secteur crypto, dont 793 présentent une empreinte PHP ; Intersect, dans l’écosystème Cardano, a mis son espace membres hors ligne pour procéder à des vérifications ; Coinbase indique que ses vérifications n’ont révélé aucune exposition, et BitGo affirme que sa plateforme n’est pas affectée. CZ avait déjà lancé un avertissement mercredi : soyez particulièrement prudents lorsque vous consultez des sites ces jours-ci. Le problème ne se limite pas au secteur crypto : les sites web de plusieurs gouvernements — aux Pays-Bas, en Finlande, en France, en Allemagne et en Australie — ont été temporairement mis hors ligne par précaution mercredi, et certains services de Wikimedia ont également été interrompus.
Derniers développements de ce matin : la fondation PHP a reconnu les faits dans un communiqué — les premières alertes sur les failles remontent à 2024, et leur correction a pris environ deux ans. Les termes exacts de l’organisation : « échec structurel ». À 08 h 44, heure de Pékin, ce matin, Cointelegraph a publié une vue d’ensemble complète. Mon avis : il ne s’agit pas du piratage d’un projet en particulier, mais d’une faille dans les infrastructures sous-jacentes. La rapidité avec laquelle les grandes plateformes prennent la parole ne signifie pas que l’écosystème est en sécurité. Les petites plateformes d’échange et les passerelles de paiement PHP sont les plus exposées (selon l’analyse de BeInCrypto). Le vrai danger, ce sont les petits sites, pages d’airdrop et pages de paiement sur lesquels on clique sans y penser.
Ces prochains jours, trois choses à faire : ne connectez pas votre portefeuille et ne saisissez pas de code de vérification sur des sites inconnus ; accédez aux plateformes d’échange uniquement via leurs applications officielles et vos favoris ; si une fenêtre contextuelle vous demande d’« effectuer d’urgence une mise à jour du portefeuille », fermez-la immédiatement.
$BTC a grimpé à 84 898 ce matin avant de redescendre ; à 09 h 41, deux sources indiquaient environ 83 697 (+0,97 % sur 24 h). Le marché est plutôt calme, mais pour ce genre de faille, les conséquences ne se reflètent souvent pas dans le graphique du jour.
Avertissement sur les risques : l’étendue de l’impact de la vulnérabilité fait toujours l’objet d’une enquête. Pour connaître l’exposition de chaque plateforme, référez-vous à ses annonces officielles. Cet article ne constitue pas un conseil en investissement.
Ces prochains jours, allez-vous d’abord éviter tous les liens inconnus, ou pensez-vous que cela reste éloigné du secteur crypto ?
#安全提醒 #PHP2Shell #SécuritéCrypto
Deux vulnérabilités graves viennent d’être découvertes dans PHP (CVE-2026-109618 et CVE-2026-109619), avec un score CVSS de 9,2/10. Des attaquants peuvent exécuter du code à distance sans se connecter. Les chercheurs les ont baptisées « PHP2Shell ». Le problème, c’est que les détails des failles ont fuité avant la publication du correctif et des tentatives d’exploitation ont déjà été repérées (selon Cloudflare). Le correctif d’urgence n’a été publié que le 21 octobre, et de nombreux sites n’ont pas encore eu le temps de l’installer.
Pourquoi le secteur crypto doit s’en préoccuper (faits) : SlowMist a analysé 1 488 domaines du secteur crypto, dont 793 présentent une empreinte PHP ; Intersect, dans l’écosystème Cardano, a mis son espace membres hors ligne pour procéder à des vérifications ; Coinbase indique que ses vérifications n’ont révélé aucune exposition, et BitGo affirme que sa plateforme n’est pas affectée. CZ avait déjà lancé un avertissement mercredi : soyez particulièrement prudents lorsque vous consultez des sites ces jours-ci. Le problème ne se limite pas au secteur crypto : les sites web de plusieurs gouvernements — aux Pays-Bas, en Finlande, en France, en Allemagne et en Australie — ont été temporairement mis hors ligne par précaution mercredi, et certains services de Wikimedia ont également été interrompus.
Derniers développements de ce matin : la fondation PHP a reconnu les faits dans un communiqué — les premières alertes sur les failles remontent à 2024, et leur correction a pris environ deux ans. Les termes exacts de l’organisation : « échec structurel ». À 08 h 44, heure de Pékin, ce matin, Cointelegraph a publié une vue d’ensemble complète. Mon avis : il ne s’agit pas du piratage d’un projet en particulier, mais d’une faille dans les infrastructures sous-jacentes. La rapidité avec laquelle les grandes plateformes prennent la parole ne signifie pas que l’écosystème est en sécurité. Les petites plateformes d’échange et les passerelles de paiement PHP sont les plus exposées (selon l’analyse de BeInCrypto). Le vrai danger, ce sont les petits sites, pages d’airdrop et pages de paiement sur lesquels on clique sans y penser.
Ces prochains jours, trois choses à faire : ne connectez pas votre portefeuille et ne saisissez pas de code de vérification sur des sites inconnus ; accédez aux plateformes d’échange uniquement via leurs applications officielles et vos favoris ; si une fenêtre contextuelle vous demande d’« effectuer d’urgence une mise à jour du portefeuille », fermez-la immédiatement.
$BTC a grimpé à 84 898 ce matin avant de redescendre ; à 09 h 41, deux sources indiquaient environ 83 697 (+0,97 % sur 24 h). Le marché est plutôt calme, mais pour ce genre de faille, les conséquences ne se reflètent souvent pas dans le graphique du jour.
Avertissement sur les risques : l’étendue de l’impact de la vulnérabilité fait toujours l’objet d’une enquête. Pour connaître l’exposition de chaque plateforme, référez-vous à ses annonces officielles. Cet article ne constitue pas un conseil en investissement.
Ces prochains jours, allez-vous d’abord éviter tous les liens inconnus, ou pensez-vous que cela reste éloigné du secteur crypto ?
#安全提醒 #PHP2Shell #SécuritéCrypto