Le fondateur de Binance, CZ, met en garde les utilisateurs de cryptomonnaies contre des failles de sécurité critiques dans PHP

En bref
Changpeng Zhao, fondateur de Binance, a conseillé aux utilisateurs de cryptomonnaies d’être « particulièrement prudents » lorsqu’ils consultent des sites Web, après la découverte de deux failles critiques dans PHP.
Notées 9,2 sur 10 en gravité, ces failles pourraient permettre à des pirates d’exécuter du code sur des serveurs sans s’y connecter.
PHP a publié des correctifs d’urgence le 21 octobre après que des détails ont fuité en ligne prématurément.
Par précaution, des gouvernements en Europe, en Australie et ailleurs ont mis des sites Web hors ligne.
Coinbase et BitGo ont déclaré ne pas être touchés, et aucune perte de cryptomonnaies n’a été attribuée à ces failles.
Changpeng Zhao, fondateur de Binance, a averti les utilisateurs de cryptomonnaies de redoubler de prudence en ligne après la découverte de deux failles de sécurité critiques dans PHP. PHP est un langage de programmation qui fait fonctionner des millions de sites Web dans le monde.
« Traitez-moi de paranoïaque, mais soyez particulièrement prudents lorsque vous visitez N’IMPORTE QUEL site web au cours des prochains jours », a écrit Zhao le 22 octobre. Il a indiqué que certains administrateurs de sites web n’avaient peut-être pas installé les derniers correctifs de sécurité.
Traitez-moi de paranoïaque, mais soyez particulièrement prudents lorsque vous visitez N’IMPORTE QUEL site web au cours des prochains jours, car certains administrateurs de sites ne sont pas toujours à jour en matière de correctifs de sécurité.
Deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619) signalées dans PHP, le langage de programmation web, affectent des serveurs…
— CZ  BNB (@cz_binance) 21 octobre 2026
Ces failles, référencées sous les noms CVE-2026-109618 et CVE-2026-109619, pourraient permettre à des attaquants d’exécuter du code malveillant sur des serveurs web sans se connecter. Elles touchent les sites construits sur des plateformes telles que WordPress, Magento, Drupal et Joomla.
Ces failles affectent les serveurs, et non directement les visiteurs. Consulter un site web reposant sur PHP ne met pas automatiquement en danger l’appareil ou le portefeuille crypto d’une personne.
Fonctionnement des failles PHP
La PHP Foundation a attribué aux deux failles un score de gravité de 9,2 sur 10. Elles concernent des faiblesses dans la manière dont PHP gère la mémoire et les erreurs.
La première faille entraîne une corruption de la mémoire lorsque PHP atteint sa limite de mémoire. La seconde concerne une zone mémoire qui reste accessible après avoir été libérée. L’entreprise de sécurité Cloudflare a baptisé ces deux failles « PHP2Shell ».
PHP a publié les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12 le 21 octobre. La fondation a exhorté les administrateurs à effectuer la mise à jour immédiatement.
Des détails ont fuité en ligne le 20 octobre, accompagnés d’un score de gravité erroné de 10,0. L’entreprise de sécurité Calif a ensuite publié par erreur une vidéo de preuve de concept, et l’équipe PHP a avancé la publication d’un jour.
La fondation a reconnu avoir repéré les premiers signes du problème en 2024. Elle a qualifié le retard dans sa résolution de « défaillance structurelle », imputable à son processus décisionnel et à un manque de ressources.
Calif et OpenAI ont ensuite signalé le même problème le 11 août, ce qui en a fait une priorité absolue.
Réaction des gouvernements et des entreprises crypto
Par mesure de précaution, des organismes gouvernementaux du monde entier ont mis des sites web hors ligne mercredi. Les Pays-Bas ont fermé leur service d’identité numérique, tandis que la Finlande, la France et l’Allemagne ont désactivé plusieurs sites publics.
Le site web australien consacré à la cybersécurité a également été touché. La Première ministre japonaise Sanae Takaichi a exhorté les exploitants de sites web à appliquer le correctif aussi rapidement que possible.
La Wikimedia Foundation a mis hors ligne certains services d’assistance, entraînant l’indisponibilité de certaines parties de Wikipédia.
Dans le secteur crypto, l’entreprise de sécurité SlowMist a repéré 793 domaines présentant des empreintes PHP directes parmi les 1 488 domaines crypto qu’elle a vérifiés. Elle a exhorté les plateformes d’échange, les plateformes DeFi et les fournisseurs de portefeuilles à effectuer la mise à niveau.
Intersect, qui soutient le développement de Cardano, a mis hors ligne son espace réservé aux membres le temps d’évaluer son exposition. Coinbase a déclaré n’avoir trouvé aucune instance PHP exposée, et BitGo a indiqué que sa plateforme n’était pas touchée.
L’avertissement de Zhao fait suite à de récentes attaques par hameçonnage visant des utilisateurs de cryptomonnaies, notamment à la présence de faux sites Ledger dans les résultats de recherche Google. Un serveur PHP piraté pourrait permettre à des attaquants de modifier le contenu d’un site ou d’ajouter de fausses demandes de connexion à un portefeuille.
L’équipe de sécurité PHP a déclaré n’avoir identifié aucun exploit fonctionnel au moment de la divulgation. À l’heure de publication de cet article, aucun incident de sécurité touchant des plateformes d’échange crypto ou des portefeuilles d’utilisateurs n’a été lié à ces failles.
L’article « Le fondateur de Binance, CZ, met en garde les utilisateurs de cryptomonnaies contre des failles de sécurité critiques dans PHP » est paru en premier sur Blockonomi.