• CZ a appelé les utilisateurs de cryptomonnaies à la prudence après la divulgation de deux vulnérabilités PHP, chacune notée 9,2 sur 10.

• PHP a publié des correctifs le 21 octobre, tandis que des agences de cybersécurité exhortaient les organisations à mettre à jour les systèmes vulnérables, après des signalements d’exploitation active.

Le fondateur de Binance, Changpeng Zhao, a exhorté les utilisateurs de cryptomonnaies à faire preuve de prudence lorsqu’ils consultent des sites web, après la découverte de deux vulnérabilités critiques dans PHP, un langage de programmation largement utilisé pour créer des sites web et des applications en ligne.

Dans un avertissement publié le 21 octobre, Zhao a attiré l’attention sur les failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, et a prévenu que les administrateurs de sites web n’avaient peut-être pas installé les dernières mises à jour de sécurité.

Traitez-moi de paranoïaque, mais soyez particulièrement prudent lorsque vous visitez N’IMPORTE QUEL site web dans les prochains jours, car certains administrateurs de sites ne sont pas toujours à jour avec les correctifs de sécurité. Deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619) ont été signalées dans PHP, le langage de programmation web, et affectent les serveurs exécutant des applications populaires comme WordPress et Magento. Des correctifs ont été publiés le 21 octobre 2026, après que des détails ont fuité prématurément. Leur exploitation dans la nature a été confirmée peu après leur divulgation, ce qui a incité les équipes informatiques à déployer rapidement des protections WAF et des correctifs, car des attaques sans authentification pourraient transformer les sites visités en vecteurs de vol d’identifiants ou d’attaques contre les appareils. Restez SAFU !

— CZ BNB (@cz_binance) 21 octobre 2026

Les vulnérabilités ont reçu un score de gravité de 9,2 sur 10 et pourraient permettre à des attaquants d’exécuter du code malveillant sur les serveurs concernés sans authentification. Les attaquants pourraient ainsi accéder aux fichiers ou aux bases de données des serveurs et modifier le contenu des sites web.

Publication de mises à jour de sécurité d’urgence

L’équipe de développement de PHP a publié des mises à jour de sécurité le 21 octobre et a exhorté les administrateurs à mettre immédiatement leurs systèmes à jour. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Selon l’avis officiel de PHP, l’une des vulnérabilités concerne une corruption de mémoire lorsque le système est à court de mémoire, tandis que l’autre permet à des données internes de rester accessibles après la libération de la mémoire qu’elles occupaient. Ces deux failles pourraient permettre l’exécution de code à distance dans certaines configurations concernées.

Ces problèmes de sécurité ont suscité des avertissements de la part d’agences gouvernementales de cybersécurité. L’Agence de l’Union européenne pour la cybersécurité et d’autres organismes européens ont exhorté les organisations à identifier les systèmes concernés et à appliquer les correctifs disponibles. Le Centre national de cybersécurité de Nouvelle-Zélande a également indiqué être au courant d’exploitations actives.

Pour les utilisateurs de cryptomonnaies, le risque est que des attaquants qui compromettent un site web puissent en modifier le contenu ou y insérer de fausses invites de connexion à un portefeuille et des pages de connexion frauduleuses. Toutefois, les failles touchent principalement les serveurs web ; visiter un site utilisant PHP ne compromet pas automatiquement l’appareil ou le portefeuille crypto du visiteur.

L’équipe PHP a indiqué que la mise à jour est la seule solution complète. Les administrateurs utilisant des versions anciennes de PHP qui ne sont plus prises en charge devront peut-être effectuer une mise à niveau ou obtenir les correctifs appropriés auprès de leurs fournisseurs de logiciels.

Au 22 octobre, des signalements d’exploitation avaient été publiés, mais aucune source examinée n’avait établi d’incident confirmé établissant un lien direct entre ces vulnérabilités et la compromission d’une plateforme d’échange de cryptomonnaies ou des pertes de portefeuilles d’utilisateurs.