Кратко

  • Основатель Binance Чанпэн Чжао посоветовал пользователям криптовалют проявлять «особую осторожность» при посещении любых сайтов после обнаружения двух критических уязвимостей в PHP.

  • Уязвимости с оценкой 9,2 из 10 могли позволить злоумышленникам запускать код на серверах без входа в систему.

  • 21 октября PHP выпустил экстренные исправления после того, как подробности об уязвимостях преждевременно просочились в интернет.

  • Правительства Европы, Австралии и других стран в качестве меры предосторожности отключили сайты.

  • Coinbase и BitGo заявили, что не пострадали, и что с этими уязвимостями не связаны никакие потери криптовалюты.

Основатель Binance Чанпэн Чжао призвал пользователей криптовалют проявлять особую осторожность в интернете после обнаружения двух критических уязвимостей в PHP. PHP — это язык программирования, на котором работают миллионы сайтов по всему миру.

«Называйте меня параноиком, но в ближайшие несколько дней будьте особенно осторожны, посещая ЛЮБЫЕ сайты», — написал Чжао 22 октября. Он отметил, что некоторые администраторы сайтов могли не установить последние обновления безопасности.

Называйте меня параноиком, но в ближайшие несколько дней будьте особенно осторожны, посещая ЛЮБЫЕ сайты: некоторые веб-администраторы не всегда своевременно устанавливают обновления безопасности.

Обнаружены две уязвимости (CVE-2026-109618 и CVE-2026-109619) в PHP — языке программирования для веб-разработки. Они затрагивают серверы…

— CZ 🔶 BNB (@cz_binance) 21 октября 2026 года

Уязвимости, зарегистрированные под номерами CVE-2026-109618 и CVE-2026-109619, позволяют злоумышленникам запускать вредоносный код на веб-серверах без входа в систему. Они затрагивают сайты на таких платформах, как WordPress, Magento, Drupal и Joomla.

Уязвимости затрагивают серверы, а не посетителей напрямую. Само по себе посещение сайта на PHP не подвергает устройство человека или его криптокошелёк риску.

Как работают уязвимости PHP

Фонд PHP присвоил обеим уязвимостям оценку критичности 9,2 из 10. Они связаны с недостатками в управлении памятью и обработке ошибок в PHP.

Первая уязвимость связана с повреждением памяти при достижении PHP установленного лимита памяти. Вторая позволяет обращаться к памяти, даже после того как она была освобождена. Компания в сфере кибербезопасности Cloudflare назвала эту пару уязвимостей «PHP2Shell».

21 октября PHP выпустил исправленные версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Фонд призвал администраторов немедленно обновить ПО.

20 октября в интернете утекли сведения об уязвимостях с ошибочной оценкой критичности 10,0. Затем компания в сфере кибербезопасности Calif по ошибке опубликовала видео с демонстрацией эксплойта, и команда PHP перенесла выпуск обновления на день раньше.

Фонд признал, что впервые заметил признаки проблемы ещё в 2024 году. Задержку с её устранением он назвал «системным сбоем», вызванным процессом принятия решений и нехваткой ресурсов.

Позже Calif и OpenAI сообщили об этой же проблеме 11 августа, после чего она получила высший приоритет.

Реакция правительств и криптокомпаний

В среду государственные учреждения по всему миру отключили сайты в качестве меры предосторожности. Нидерланды приостановили работу службы цифровой идентификации, а Финляндия, Франция и Германия отключили несколько государственных сайтов.

Проблема затронула также сайт австралийского центра кибербезопасности. Премьер-министр Японии Санаэ Такаити призвала операторов сайтов установить обновление как можно скорее.

Фонд Викимедиа отключил некоторые службы поддержки, из-за чего часть Википедии стала недоступна.

В криптоиндустрии компания по кибербезопасности SlowMist обнаружила 793 домена с явными признаками использования PHP среди 1 488 проверенных криптодоменов. Она призвала биржи, DeFi-платформы и поставщиков кошельков обновить ПО.

Intersect, организация, поддерживающая развитие Cardano, отключила раздел для участников, пока оценивала степень подверженности риску. Coinbase заявила, что не обнаружила уязвимых экземпляров PHP, а BitGo сообщила, что её платформа не пострадала.

Предупреждение Чжао прозвучало на фоне недавних фишинговых атак на пользователей криптовалют, в том числе появления поддельных сайтов Ledger в результатах поиска Google. Взлом PHP-сервера может позволить злоумышленникам менять содержимое сайта или добавлять поддельные запросы на подключение кошелька.

Команда безопасности PHP заявила, что на момент раскрытия информации не обнаружила работающих эксплойтов. На момент публикации ни один инцидент безопасности на криптобиржах или в пользовательских кошельках не был связан с этими уязвимостями.

Впервые опубликовано на Blockonomi: основатель Binance CZ предупреждает пользователей криптовалют о критических уязвимостях безопасности PHP.

#CZ