CZ призвал пользователей криптовалют проявлять осторожность после раскрытия информации о двух уязвимостях PHP, каждой из которых присвоена оценка 9,2 из 10.
PHP выпустила исправления 21 октября, а ведомства по кибербезопасности призвали организации обновить уязвимые системы на фоне сообщений об активной эксплуатации уязвимостей.
Основатель Binance Чанпэн Чжао призвал пользователей криптовалют проявлять осторожность при посещении веб-сайтов после обнаружения двух критических уязвимостей в PHP — языке программирования, широко используемом для создания веб-сайтов и онлайн-приложений.
В предупреждении, опубликованном 21 октября, Чжао указал на уязвимости CVE-2026-109618 и CVE-2026-109619 и предупредил, что администраторы веб-сайтов могли не установить последние обновления безопасности.
Можете считать меня параноиком, но в ближайшие несколько дней будьте особенно осторожны при посещении ЛЮБЫХ веб-сайтов: некоторые веб-администраторы не всегда своевременно устанавливают исправления безопасности. Для PHP — языка программирования для веб-разработки — сообщили о двух уязвимостях (CVE-2026-109618 и CVE-2026-109619), затрагивающих серверы с популярными приложениями, такими как WordPress и Magento. Исправления выпустили 21 октября 2026 года, после того как подробности утекли раньше времени. Вскоре после раскрытия информации подтвердили, что уязвимости уже используются в реальных атаках, что побудило оперативно внедрять средства защиты WAF и устанавливать исправления силами ИТ-команд. Поскольку атаки без аутентификации могли превращать посещаемые сайты в инструмент для кражи учетных данных или атак на устройства. Берегите себя!
— CZ BNB (@cz_binance) 21 октября 2026 года
Уровень опасности уязвимостей оценивается в 9,2 из 10. Они могут позволить злоумышленникам выполнять вредоносный код на уязвимых серверах без аутентификации. Это может дать злоумышленникам доступ к файлам или базам данных сервера и позволить им изменять содержимое веб-сайта.
Выпущены экстренные обновления безопасности
Команда разработчиков PHP выпустила обновления безопасности 21 октября и призвала администраторов немедленно обновить свои системы. Исправленные версии: PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Согласно официальному уведомлению PHP, одна уязвимость связана с повреждением памяти при ее исчерпании системой, а другая — с тем, что внутренние данные остаются доступными после освобождения занятой ими памяти. В определенных конфигурациях оба недостатка потенциально могут позволить удаленно выполнить код.
Угрозы безопасности вызвали предупреждения со стороны государственных ведомств по кибербезопасности. Агентство Европейского союза по кибербезопасности и другие европейские организации призвали компании выявить уязвимые системы и установить доступные исправления. Национальный центр кибербезопасности Новой Зеландии также сообщил, что ему известно об активной эксплуатации уязвимостей.
Пользователей криптовалют беспокоит то, что злоумышленники, взломавшие веб-сайт, потенциально могут изменить его содержимое или добавить мошеннические запросы на подключение криптокошелька и страницы входа. Однако недостатки затрагивают прежде всего серверы веб-сайтов: посещение сайта на PHP не приводит к автоматическому взлому устройства или криптокошелька посетителя.
Команда PHP заявила, что единственный способ полностью устранить проблему — установить обновление. Администраторам, использующим устаревшие и неподдерживаемые версии PHP, может потребоваться обновить их или получить соответствующие исправления у поставщиков программного обеспечения.
По состоянию на 22 октября появились сообщения об эксплуатации уязвимостей, однако в изученных источниках не было подтверждено ни одного инцидента, напрямую связывающего их с взломом криптовалютной биржи или потерями средств пользователей из кошельков.