Основатель Binance: критические уязвимости PHP затрагивают WordPress, Magento и криптосервисы

Две критические уязвимости в PHP, на котором работает значительная часть веб-серверов, уже используются злоумышленниками. Основатель Binance Чанпен Чжао (Changpeng Zhao) предупредил об этом в соцсети X и призвал в ближайшие дни с повышенной осторожностью заходить на любые сайты. Уязвимости CVE-2026-109618 и CVE-2026-109619 угрожают серверам, на которых работают WordPress, Magento и другие приложения, а значит, и бэкендам многих криптосервисов.

Чжао сам назвал себя параноиком, но объяснил причину: администраторы сайтов не всегда вовремя устанавливают патчи безопасности. Атаки не требуют аутентификации, поэтому любой посещаемый сайт с необновлённым сервером может стать инструментом для кражи учётных данных или взлома устройства. По словам Чжао, детали уязвимостей стали известны раньше срока, патчи вышли 21 октября, а эксплуатацию зафиксировали почти сразу после раскрытия. IT-команды быстро подключили защиту на уровне межсетевых экранов веб-приложений (WAF) и начали обновлять серверы. Своё сообщение он завершил призывом «Stay SAFU» — в крипто-сообществе так напоминают о сохранности средств.

Что известно об уязвимостях

Проект PHP 21 октября выпустил экстренные обновления для четырёх веток языка:

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

• PHP 8.5.12;
• PHP 8.4.27;
• PHP 8.3.36;
• PHP 8.2.35.

Обе уязвимости получили оценку 9,2 по шкале CVSS v4.0 и позволяют неаутентифицированному злоумышленнику выполнять произвольный код на сервере удалённо. В первом случае (CVE-2026-109618) причина — повреждение памяти при её нехватке, во втором (CVE-2026-109619) — использование устаревшего глобального состояния.

Под угрозой все установки PHP, которые обрабатывают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наиболее опасна ситуация с mod_php: там уже продемонстрировали эксплуатацию ещё до запуска кода самого приложения. Среди затронутых проектов — широко используемые WordPress и Magento.

Утечка деталей и устаревшие версии

Информация об уязвимостях просочилась раньше запланированной даты раскрытия, которую ориентировочно назначили на 22 октября. Это заставило ускорить выпуск патчей. PHP Foundation подтвердила, что атаку можно провести с помощью специально сформированных запросов, которые вызывают повреждение памяти или использование устаревшего состояния.

Хуже всего ситуация у владельцев серверов с PHP 8.1 и более старыми версиями. Они сняты с поддержки, поэтому официальных исправлений для них нет. Часть дистрибутивов Linux и вендоров с долгосрочной поддержкой выпускает собственные бэкпорты — перенесённые в старые версии исправления. Единственным полным решением в проекте называют немедленное обновление. Временные меры, например отключение параметра session.upload_progress.enabled или значение memory_limit=-1, лишь частично снижают риск.

Атаки уже идут

Первые попытки эксплуатации появились вскоре после раскрытия. Компания Sansec зафиксировала ранние атаки ещё до того, как патчи вышли полностью, и ожидает массовых попыток взлома. Cloudflare сообщил о трафике с признаками атак 21 октября. Национальный центр кибербезопасности (NCSC) Новой Зеландии 22 октября подтвердил, что знает о случаях активной эксплуатации, и призвал как можно скорее обновить PHP.

Мнение ИИ

С точки зрения машинного анализа данных, PHP-уязвимости в криптоотрасли напоминают старый сериал с новыми сезонами. Предыдущая критическая брешь CVE-2024-4577 тоже позволяла выполнять код удалённо. Компания Bitdefender зафиксировала всплеск её эксплуатации, и примерно в 5% атак на сервер устанавливали майнер XMRig. Чужие серверы для злоумышленников давно служат бесплатной фермой.

Ситуация демонстрирует и другой слой риска, цепочку поставок. При краже $1,5 млрд у Bybit атакующие внедрили вредоносный JavaScript через скомпрометированный компьютер разработчика Safe{Wallet}. Периметр биржи заканчивается там, где заканчивается самый ленивый подрядчик. Кто в вашей цепочке обновляется последним?

Источник