CZ memperingatkan pengguna mata uang kripto agar berhati-hati setelah dua kerentanan PHP, yang masing-masing mendapat skor 9,2 dari 10, diungkapkan.
PHP merilis patch pada 21 Oktober, sementara badan keamanan siber mendesak organisasi untuk memperbarui sistem yang rentan di tengah laporan tentang eksploitasi aktif.
Pendiri Binance Changpeng Zhao mengimbau pengguna mata uang kripto agar berhati-hati saat mengunjungi situs web setelah dua kerentanan kritis ditemukan di PHP, bahasa pemrograman yang banyak digunakan untuk membuat situs web dan aplikasi daring.
Dalam peringatan yang diunggah pada 21 Oktober, Zhao menyoroti celah keamanan tersebut, yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619, serta mengingatkan bahwa administrator situs web mungkin belum memasang pembaruan keamanan terbaru.
Anggap saja saya paranoid, tetapi berhati-hatilah saat mengunjungi situs web MANA PUN dalam beberapa hari ke depan, karena sebagian admin web tidak selalu mengikuti perkembangan terbaru terkait patch keamanan. Dua kerentanan (CVE-2026-109618 dan CVE-2026-109619) dilaporkan pada PHP, bahasa pemrograman web yang digunakan di server yang menjalankan aplikasi populer seperti WordPress dan Magento. Patch dirilis pada 21 Oktober 2026 setelah detailnya bocor lebih awal. Eksploitasi di dunia nyata dikonfirmasi tak lama setelah pengungkapan, sehingga tim TI segera menerapkan perlindungan WAF dan memasang patch. Sebab, serangan tanpa autentikasi dapat mengubah situs yang dikunjungi menjadi sarana pencurian kredensial atau eksploitasi perangkat. Tetap SAFU!
— CZ BNB (@cz_binance) 21 Oktober 2026
Kerentanan ini memiliki skor tingkat keparahan 9,2 dari 10 dan dapat memungkinkan penyerang menjalankan kode berbahaya di server yang terdampak tanpa autentikasi. Hal ini dapat memberi penyerang akses ke file atau basis data server, serta memungkinkan mereka mengubah konten situs web.
Pembaruan Keamanan Darurat Dirilis
Tim pengembang PHP merilis pembaruan keamanan pada 21 Oktober dan mendesak administrator untuk segera memperbarui sistem mereka. Versi yang telah diperbaiki adalah PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12.
Menurut imbauan keamanan resmi PHP, salah satu kerentanan melibatkan kerusakan memori saat sistem kehabisan memori, sementara kerentanan lainnya menyebabkan data internal tetap dapat diakses setelah memorinya dibebaskan. Kedua celah ini berpotensi memungkinkan eksekusi kode jarak jauh pada konfigurasi yang terdampak.
Kekhawatiran keamanan ini telah memicu peringatan dari badan-badan keamanan siber pemerintah. Badan Uni Eropa untuk Keamanan Siber dan lembaga-lembaga Eropa lainnya mendesak organisasi untuk mengidentifikasi sistem yang terdampak dan menerapkan patch yang tersedia. Pusat Keamanan Siber Nasional Selandia Baru juga menyatakan telah mengetahui adanya eksploitasi aktif.
Bagi pengguna mata uang kripto, kekhawatirannya adalah penyerang yang berhasil menyusupi situs web dapat mengubah kontennya atau menyisipkan permintaan koneksi dompet dan halaman login palsu. Namun, celah ini terutama berdampak pada server situs web; mengunjungi situs web yang menggunakan PHP tidak secara otomatis menyusupi perangkat atau dompet kripto pengunjung.
Tim PHP menyatakan bahwa pembaruan adalah satu-satunya solusi yang tuntas. Administrator yang menjalankan versi PHP lama yang tidak lagi didukung mungkin perlu melakukan peningkatan atau mendapatkan perbaikan yang sesuai dari penyedia perangkat lunak mereka.
Hingga 22 Oktober, laporan eksploitasi telah muncul, tetapi sumber-sumber yang ditinjau belum mengonfirmasi adanya insiden yang secara langsung mengaitkan kerentanan ini dengan pembobolan bursa mata uang kripto atau kerugian pada dompet pengguna.