Hai lỗ hổng nghiêm trọng trong PHP (CVE-2026-109618 và CVE-2026-109619, được chấm 9,2/10) cho phép thực thi mã trên máy chủ web mà không cần đăng nhập. Theo kết quả quét MistEye của SlowMist, 793 trong số 1.488 tên miền tiền mã hóa được phân tích đang sử dụng PHP.
Bản vá được phát hành vào 13:30 UTC ngày 21/10 (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35). CISA yêu cầu vá ngay lập tức và tắt các máy chủ chạy PHP 8.1 trở xuống. CERT-EU lưu ý rằng các bằng chứng khai thác đã bắt đầu được lưu hành.
Quan niệm phổ biến lúc này là: “sàn giao dịch của tôi không dùng PHP, vậy tôi an toàn”. Điều này đúng với một số tên tuổi lớn. BNB Chain và PancakeSwap cho biết họ không dùng PHP trong hệ thống; Coinbase nói rằng họ không tìm thấy máy chủ nào bị lộ; BitGo cho biết họ không bị ảnh hưởng.
Nhưng rủi ro không chỉ đến từ nền tảng lưu giữ tiền của bạn. Nó còn đến từ các blog, trang token, bảng điều khiển và trang tổng hợp mà bạn truy cập trước khi đến đó. Một máy chủ bị xâm nhập có thể hiển thị nút “kết nối ví” giả hoặc công cụ rút sạch ví trên một trang mà bạn quen thuộc. CZ đã khuyên mọi người “cực kỳ cẩn trọng” khi lướt web trong vài ngày tới.
Nhận định của tôi: thời điểm rủi ro nhất là ngay bây giờ, trước khi các trang web nhỏ kịp vá lỗi. Có hai kịch bản. Hoặc các bản vá được triển khai nhanh chóng và cảnh báo lắng xuống trong vòng một tuần. Hoặc chúng ta sẽ chứng kiến các trang giao diện bị xâm nhập và một làn sóng lừa đảo.
Tuần này: hãy dùng dấu trang thay vì nhấp vào liên kết, đọc kỹ từng yêu cầu ký, đưa địa chỉ rút tiền vào danh sách cho phép và giữ tiền dài hạn bên ngoài ví nóng. Còn thị trường thì chẳng mảy may dao động: $BNB quanh mức 733 USD và $ETH ở mức khoảng 2.410 USD trên Kraken vào 14:45 UTC ngày 22/10.
Bạn đã kiểm tra các trang tiền mã hóa mình truy cập mỗi ngày chưa, hay đang chờ sự cố đầu tiên xảy ra?
#CryptoSecurity #PHP2Shell
Bản vá được phát hành vào 13:30 UTC ngày 21/10 (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35). CISA yêu cầu vá ngay lập tức và tắt các máy chủ chạy PHP 8.1 trở xuống. CERT-EU lưu ý rằng các bằng chứng khai thác đã bắt đầu được lưu hành.
Quan niệm phổ biến lúc này là: “sàn giao dịch của tôi không dùng PHP, vậy tôi an toàn”. Điều này đúng với một số tên tuổi lớn. BNB Chain và PancakeSwap cho biết họ không dùng PHP trong hệ thống; Coinbase nói rằng họ không tìm thấy máy chủ nào bị lộ; BitGo cho biết họ không bị ảnh hưởng.
Nhưng rủi ro không chỉ đến từ nền tảng lưu giữ tiền của bạn. Nó còn đến từ các blog, trang token, bảng điều khiển và trang tổng hợp mà bạn truy cập trước khi đến đó. Một máy chủ bị xâm nhập có thể hiển thị nút “kết nối ví” giả hoặc công cụ rút sạch ví trên một trang mà bạn quen thuộc. CZ đã khuyên mọi người “cực kỳ cẩn trọng” khi lướt web trong vài ngày tới.
Nhận định của tôi: thời điểm rủi ro nhất là ngay bây giờ, trước khi các trang web nhỏ kịp vá lỗi. Có hai kịch bản. Hoặc các bản vá được triển khai nhanh chóng và cảnh báo lắng xuống trong vòng một tuần. Hoặc chúng ta sẽ chứng kiến các trang giao diện bị xâm nhập và một làn sóng lừa đảo.
Tuần này: hãy dùng dấu trang thay vì nhấp vào liên kết, đọc kỹ từng yêu cầu ký, đưa địa chỉ rút tiền vào danh sách cho phép và giữ tiền dài hạn bên ngoài ví nóng. Còn thị trường thì chẳng mảy may dao động: $BNB quanh mức 733 USD và $ETH ở mức khoảng 2.410 USD trên Kraken vào 14:45 UTC ngày 22/10.
Bạn đã kiểm tra các trang tiền mã hóa mình truy cập mỗi ngày chưa, hay đang chờ sự cố đầu tiên xảy ra?
#CryptoSecurity #PHP2Shell