Две критические уязвимости PHP с оценкой CVSS 9.2 — SlowMist рекомендует Web3-проектам срочно обновиться

Odaily News: Команда безопасности SlowMist опубликовала отчёт, в котором сообщила, что две недавно раскрытые критически опасные уязвимости PHP — CVE-2026-109618 и CVE-2026-109619 — создают риск для офчейн-инфраструктуры Web3-индустрии. Обе уязвимости имеют оценку CVSS v4.0 9.2 балла: злоумышленнику не нужны учётная запись, пароль или API-ключ — достаточно отправить специально сформированный запрос на PHP-сервис, доступный из интернета, чтобы получить возможность выполнять произвольный код с правами процесса веб-сервера.

Уязвимости затрагивают все версии PHP с 5.4 по 8.5.11, причём детали уязвимостей были раскрыты до выпуска официальных патчей. Команда Amazon Threat Intelligence зафиксировала реальные попытки эксплуатации за 4 дня до публичного раскрытия. Сканирование системы киберразведки SlowMist MistEye показало, что из 1488 проанализированных доменов, связанных с криптовалютами, 793 имеют прямой PHP-отпечаток — около 53,3%.

Под угрозой находятся такие офчейн-компоненты, как фронтенд-страницы Web3-проектов, API-интерфейсы, страницы получения аирдропов, операционные панели администратора и сервисы кастодиальных кошельков. Если злоумышленник использует уязвимость PHP для компрометации сервера сайта проекта, он может подменить фронтенд-страницы и побудить пользователей подписать вредоносные транзакции, чтобы похитить их активы.

Официально выпущены версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — соответствующим проектам следует обновиться до актуальной версии. Для PHP 8.1 и более ранних версий прекращена регулярная поддержка вышестоящего сообщества, поэтому миграцию следует выполнить как можно скорее. Временные меры смягчения, принимаемые при невозможности немедленного обновления, снижают риск лишь для отдельных векторов атак; установка патча остаётся полным решением.