• 21 октября CZ призвал пользователей проявлять крайнюю осторожность при посещении сайтов после преждевременной утечки информации о двух уязвимостях PHP.

• 21 октября PHP Foundation выпустила исправления для CVE-2026-109618 и CVE-2026-109619; оценка их критичности — 9,2.

• Cloudflare зафиксировала, что после раскрытия информации число попыток атак выросло с сотен тысяч до миллионов.

Coinbase и BitGo заявили, что не обнаружили признаков воздействия

Число попыток атак с использованием недавно раскрытых уязвимостей PHP достигло миллионов, и 22 октября крупнейшие криптокомпании выступили с заявлениями о том, были ли затронуты их системы. По данным Coinreaders, Coinbase (COIN) и BitGo сообщили, что не обнаружили признаков воздействия на свою инфраструктуру. Binance заявила, что приняла защитные меры до выпуска официального исправления безопасности и завершила необходимые, по её мнению, действия по реагированию. На момент публикации сообщений о взломе криптокомпаний или потере средств пользователей не было. Сооснователь Binance Чанпэн Чжао, известный в отрасли как CZ, предупредил пользователей, что в ближайшие дни следует проявлять крайнюю осторожность при посещении любых сайтов. Он опасается, что сайт, на котором исправление установят с опозданием, может стать каналом для кражи учётных данных или атак на устройство посетителя. Уязвимости, о которых идёт речь, позволяют злоумышленнику выполнять код на сервере без предварительного входа в систему. Команда разработчиков PHP выпустила исправленную версию 21 октября, однако каждый оператор сайта должен установить её самостоятельно. Данные об инфраструктуре показывают масштаб сканирования: Cloudflare зафиксировала, что число попыток достигло сотен тысяч в течение двух часов после раскрытия информации, а затем выросло до миллионов. Amazon сообщила, что наблюдала такие попытки уже 17 октября — до того, как об уязвимостях стало известно широкой публике. Также обнаружилась отдельная проблема с сертификатами у индийского центра сертификации eMudhra: у восьми промежуточных сертификатов были необычно слабые закрытые ключи. Такое сочетание позволяло бы злоумышленнику подделывать сертификаты, выдавая себя за криптобиржи. Браузеры начали блокировать эти сертификаты, но торговые программы, использующие собственные списки сертификатов, могут этого не делать. Lightning Labs попросила пользователей её программ для Bitcoin и Lightning Network немедленно установить обновления. В рекомендациях, распространяемых вместе с предупреждением, пользователям советуют заходить на биржи только через официальные сайты, добавленные в закладки, не доверять всплывающим окнам с настойчивыми требованиями обновления и перед отправкой средств сверять каждый адрес для пополнения с сохранённым адресом.

CVE-2026-109618 и CVE-2026-109619

Предупреждение связано с двумя критическими уязвимостями в PHP — языке программирования для серверной части, на котором работают многие сайты, в том числе все сайты WordPress. Обе уязвимости устранили в экстренном обновлении безопасности 21 октября, после того как сведения о них утекли до запланированного раскрытия. Уязвимости зарегистрированы как CVE-2026-109618 и CVE-2026-109619, и для атаки ни одна из них не требует входа в систему. 21 октября CZ написал в X, что его могут назвать параноиком, но в ближайшие дни стоит быть очень осторожными, посещая любые сайты, поскольку некоторые операторы не всегда своевременно обновляют свои системы безопасности. Он добавил, что вскоре после раскрытия информации подтвердилось использование обеих уязвимостей в реальных атаках. В собственном описании релиза PHP Foundation приводит несколько иную версию событий. Согласно заявлению фонда, номера CVE начали распространяться в интернете 20 октября вместе с ошибочной датой выпуска и указанием критичности 10 из 10, хотя фактическая оценка составляет 9,2. Calif, одна из сторон, сообщивших об уязвимостях, по ошибке опубликовала видео с объяснением того, как их эксплуатировать, а Chainguard выпустила сборки с исправлениями более чем за шесть часов до согласованного времени. Фонд заявляет, что до выхода обновления не наблюдал реальных атак, что противоречит более позднему комментарию CZ. Государственные ведомства по кибербезопасности выступили с рекомендациями примерно в то же время. АНБ посоветовало пользователям PHP подготовиться к установке обновлений, а если установить исправление сразу невозможно — отключить уязвимые системы от сети. Отдел кибербезопасности ФБР повторил эту рекомендацию и призвал операторов следить за тем, не запускают ли процессы PHP системные команды неожиданным образом. Среди криптоплатформ Нина Жун из BNB Chain подтвердила, что сама сеть не использует PHP. PancakeSwap, крупная децентрализованная биржа в BNB Chain, заявила, что в её инфраструктуре PHP не используется и средства пользователей в безопасности. CZ репостнул это заявление и добавил, что большинство проектов должны как минимум опубликовать подобное подтверждение.

Утечка до выхода исправления

В примечании к выпуску PHP Foundation — основном документе в этой истории — точно обозначен период риска: сведения об уязвимостях распространялись в интернете 20 октября, а исправление вышло 21 октября. Таким образом, примерно сутки уязвимые серверы оставались без исправления, а инструкции по эксплуатации были общедоступны. Несоответствие между заявленной критичностью 10 и фактической оценкой 9,2, а также выпуск поставщиком исправленных сборок на шесть часов раньше согласованного срока указывают на то, что скоординированный процесс раскрытия уязвимостей дал сбой, а не на обычный цикл выпуска исправлений. Для пользователей криптовалют остаточный риск не так велик, как можно подумать по заголовкам: сообщений о взломе бирж или потере средств пользователей не поступало. На практике опасность заключается в подмене адреса на взломанном сайте. Аппаратный кошелёк отображает адрес отправки, но не может определить, не показал ли взломанный сайт поддельный адрес.