CZ предупреждает криптопользователей о критических уязвимостях PHP

В предупреждении от 22 октября Чжао указал на две уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, которые могут позволить злоумышленникам выполнять вредоносный код на уязвимых веб-серверах без необходимости аутентификации.

«Называйте меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней», — написал Чжао, пояснив, что некоторые администраторы сайтов могли не установить последние исправления безопасности.

Уязвимости затрагивают установки PHP, поддерживающие популярные платформы управления контентом и электронной коммерции, включая WordPress, Magento, Drupal и Joomla. Успешная эксплуатация может позволить злоумышленникам скомпрометировать инфраструктуру веб-сайта, получить доступ к конфиденциальной информации или изменить контент, отображаемый посетителям.

Хотя предупреждение Чжао было адресовано пользователям веб-сайтов, сами уязвимости затрагивают серверы и не означают, что посещение любого сайта на PHP автоматически компрометирует устройство человека или его криптовалютный кошелек.

Уязвимости PHP позволяют злоумышленникам удаленно выполнять код

Согласно раскрытию информации PHP Foundation, обе уязвимости получили оценку серьезности 9,2 из 10 и связаны со слабостями в системах управления памятью и обработки ошибок языка программирования.

Первая уязвимость, CVE-2026-109618, связана с повреждением памяти, когда PHP достигает настроенного лимита памяти во время определенных операций. При определенных условиях сервер может некорректно обрабатывать частично инициализированные данные, позволяя злоумышленнику выполнить несанкционированный код.

В то же время CVE-2026-109619 касается внутренних ссылок на память, которые остаются доступными после освобождения связанной памяти. Исследователи продемонстрировали, что злоумышленники могут использовать эту слабость для выполнения кода против приложений, работающих на затронутых серверах.

Фонд подтвердил, что эксплуатация возможна при стандартных конфигурациях серверов Apache с использованием mod_php, а исследователи продемонстрировали дополнительные пути атак с участием PHP-FPM.

После раскрытия информации разработчики выпустили исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 21 октября.

Официальное уведомление PHP призвало администраторов немедленно обновиться, предупредив, что временные меры защиты не могут полностью устранить риск.

Старые установки PHP остаются проблемой, поскольку версии вне поддерживаемых веток проекта могут зависеть от исправлений безопасности, предоставляемых отдельно хостинг-провайдерами или поставщиками программного обеспечения.

Выпущены экстренные исправления

Детали, связанные с уязвимостями, начали распространяться до того, как команда безопасности PHP завершила запланированный процесс раскрытия.

По данным фонда, два идентификатора уязвимостей появились на онлайн-форумах и в социальных сетях 20 октября, сопровождаясь неверной оценкой серьезности 10,0 и неточным графиком выпуска.

Хотя первоначальная утечка не содержала технических инструкций по эксплуатации, компания по безопасности Calif впоследствии по ошибке опубликовала видео с доказательством концепции, демонстрирующее атаки на несколько целей.

Копии продолжали распространяться после удаления оригинального видео, что побудило исследователей разработать дополнительные демонстрации эксплойтов.

Команда PHP впоследствии перенесла запланированный выпуск безопасности с 22 октября на 21 октября, дав распространителям программного обеспечения время подготовить обновления и сократив период, в течение которого техническая информация могла циркулировать без доступных исправлений.

Фонд отдельно раскритиковал поставщика безопасности Chainguard за публикацию исправленных образов программного обеспечения более чем за шесть часов до скоординированного выпуска, что потенциально позволило злоумышленникам изучить изменения до публичного раскрытия.

Компания по безопасности Cloudflare развернула защиту брандмауэра до того, как уязвимости стали публичными, работая совместно с исследователями из OpenAI, Wiz и других организаций, участвовавших в раскрытии.

Cloudflare заявила, что уязвимости, совместно называемые PHP2Shell, могут подвергнуть затронутые серверы удаленному выполнению кода, нарушению работы служб и раскрытию конфиденциальных данных.

Криптопользователи под угрозой из-за скомпрометированных сайтов?

Предупреждение Чжао появилось на фоне продолжающихся фишинговых кампаний, нацеленных на криптопользователей и использующих мошеннические веб-сайты и обманные запросы учетных данных кошельков.

Ранее сообщалось, что в результатах поиска Google появлялись поддельные сайты Ledger, где злоумышленники пытались собрать фразы восстановления кошельков через страницы, имитирующие легитимное программное обеспечение.

В другом инциденте злоумышленники использовали фишинговые письма Trezor и скомпрометированную стороннюю инфраструктуру для распространения мошеннических сообщений безопасности среди криптовалютных клиентов.

Однако скомпрометированный PHP-сервер потенциально может позволить злоумышленникам изменять содержимое веб-сайта или внедрять мошеннические запросы на вход и подключение кошелька, в зависимости от полученного доступа.

На момент публикации не было подтвержденных сообщений об инцидентах безопасности, затрагивающих криптовалютные биржи или кошельки пользователей, напрямую связанных с недавно раскрытыми уязвимостями PHP.

Канадский центр кибербезопасности призвал организации, эксплуатирующие PHP-приложения, доступные из интернета, выявить уязвимые установки и немедленно применить доступные обновления безопасности.