Nhà sáng lập Binance CZ cảnh báo người dùng tiền mã hóa về các lỗ hổng bảo mật nghiêm trọng trong PHP

Tóm tắt
Nhà sáng lập Binance, Changpeng Zhao, khuyên người dùng tiền mã hóa cần “đặc biệt thận trọng” khi truy cập bất kỳ trang web nào sau khi phát hiện hai lỗ hổng nghiêm trọng trong PHP.
Các lỗ hổng được chấm 9,2/10 có thể cho phép kẻ tấn công chạy mã trên máy chủ mà không cần đăng nhập.
PHP đã phát hành các bản vá khẩn cấp vào ngày 21 tháng 10, sau khi thông tin chi tiết bị rò rỉ trên mạng từ trước đó.
Các chính phủ ở châu Âu, Úc và nhiều nơi khác đã tạm ngừng hoạt động các trang web để phòng ngừa.
Coinbase và BitGo cho biết họ không bị ảnh hưởng, và chưa có tổn thất tiền mã hóa nào được xác định là có liên quan đến các lỗ hổng này.
Nhà sáng lập Binance, Changpeng Zhao, đã cảnh báo người dùng tiền mã hóa cần đặc biệt thận trọng khi trực tuyến sau khi phát hiện hai lỗ hổng bảo mật nghiêm trọng trong PHP. PHP là ngôn ngữ lập trình vận hành hàng triệu trang web trên khắp thế giới.
“Cứ cho là tôi đa nghi, nhưng trong vài ngày tới, hãy hết sức cẩn thận khi truy cập BẤT KỲ trang web nào,” Zhao viết ngày 22 tháng 10. Ông nói một số quản trị viên trang web có thể chưa cài đặt các bản vá bảo mật mới nhất.
Cứ cho là tôi đa nghi, nhưng trong vài ngày tới, hãy hết sức cẩn thận khi truy cập BẤT KỲ trang web nào, vì một số quản trị viên web không phải lúc nào cũng cập nhật các bản vá bảo mật.
Hai lỗ hổng (CVE-2026-109618 và CVE-2026-109619) được phát hiện trong PHP, ngôn ngữ lập trình web, ảnh hưởng đến các máy chủ…
— CZ  BNB (@cz_binance) ngày 21 tháng 10 năm 2026
Các lỗ hổng, được định danh là CVE-2026-109618 và CVE-2026-109619, có thể cho phép kẻ tấn công chạy mã độc trên máy chủ web mà không cần đăng nhập. Chúng ảnh hưởng đến các trang web được xây dựng trên những nền tảng như WordPress, Magento, Drupal và Joomla.
Các lỗ hổng ảnh hưởng đến máy chủ, chứ không trực tiếp đến khách truy cập. Truy cập một trang web chạy PHP không tự động khiến thiết bị hoặc ví tiền mã hóa của người dùng gặp rủi ro.
Cách thức hoạt động của các lỗ hổng PHP
PHP Foundation chấm mức độ nghiêm trọng của cả hai lỗ hổng là 9,2 trên 10. Chúng liên quan đến các điểm yếu trong cách PHP quản lý bộ nhớ và xử lý lỗi.
Lỗ hổng thứ nhất liên quan đến lỗi hỏng bộ nhớ khi PHP chạm giới hạn bộ nhớ. Lỗ hổng thứ hai liên quan đến vùng bộ nhớ vẫn có thể truy cập được sau khi đã được giải phóng. Công ty bảo mật Cloudflare gọi hai lỗ hổng này là “PHP2Shell”.
PHP phát hành các phiên bản đã vá lỗi 8.2.35, 8.3.36, 8.4.27 và 8.5.12 vào ngày 21 tháng 10. PHP Foundation kêu gọi quản trị viên cập nhật ngay lập tức.
Thông tin chi tiết bị rò rỉ trên mạng vào ngày 20 tháng 10 cùng mức độ nghiêm trọng không chính xác là 10,0. Sau đó, công ty bảo mật Calif vô tình đăng tải video minh chứng khai thác lỗ hổng, khiến nhóm PHP đẩy lịch phát hành lên sớm một ngày.
PHP Foundation thừa nhận lần đầu tiên họ nhận thấy dấu hiệu của vấn đề vào năm 2024. Họ gọi sự chậm trễ trong việc khắc phục là một “thất bại mang tính hệ thống”, do quy trình ra quyết định và thiếu nguồn lực gây ra.
Sau đó, Calif và OpenAI cùng báo cáo vấn đề tương tự vào ngày 11 tháng 8, khiến vấn đề được xếp vào diện ưu tiên hàng đầu.
Chính phủ và các công ty tiền mã hóa phản ứng
Các cơ quan chính phủ trên khắp thế giới đã tạm ngừng hoạt động các trang web vào thứ Tư như một biện pháp phòng ngừa. Hà Lan đóng dịch vụ định danh số, trong khi Phần Lan, Pháp và Đức vô hiệu hóa một số trang web công cộng.
Trang web an ninh mạng của Australia cũng bị ảnh hưởng. Thủ tướng Nhật Bản Sanae Takaichi kêu gọi các đơn vị vận hành trang web áp dụng bản vá càng sớm càng tốt.
Wikimedia Foundation đã tạm ngừng một số dịch vụ hỗ trợ, khiến một số phần của Wikipedia ngừng hoạt động.
Trong lĩnh vực tiền mã hóa, công ty bảo mật SlowMist phát hiện 793 tên miền có dấu vân tay PHP trực tiếp trong số 1.488 tên miền tiền mã hóa mà họ kiểm tra. Công ty kêu gọi các sàn giao dịch, nền tảng DeFi và nhà cung cấp ví nâng cấp.
Intersect, tổ chức hỗ trợ sự phát triển của Cardano, đã tạm ngừng hoạt động Khu vực Thành viên trong khi đánh giá mức độ ảnh hưởng. Coinbase cho biết họ không phát hiện máy chủ PHP nào bị lộ, còn BitGo nói nền tảng của họ không bị ảnh hưởng.
Cảnh báo của Zhao được đưa ra sau những vụ tấn công lừa đảo nhắm vào người dùng tiền mã hóa gần đây, trong đó có các trang web Ledger giả mạo xuất hiện trong kết quả tìm kiếm của Google. Máy chủ PHP bị xâm nhập có thể cho phép kẻ tấn công thay đổi nội dung trang web hoặc thêm các yêu cầu kết nối ví giả mạo.
Nhóm bảo mật PHP cho biết họ chưa phát hiện bất kỳ mã khai thác nào hoạt động tại thời điểm công bố. Tính đến thời điểm bài viết được đăng, chưa có sự cố bảo mật nào tại các sàn giao dịch tiền mã hóa hoặc ví người dùng được xác định là có liên quan đến các lỗ hổng này.
Bài viết “Nhà sáng lập Binance CZ cảnh báo người dùng tiền mã hóa về các lỗ hổng bảo mật PHP nghiêm trọng” được đăng lần đầu trên Blockonomi.