BTC
ETH
USDT
BNB
XRP
SOL
TRX
ZEC
DOGE
XMR
ADA
BCH
LTC
GRAM
DASH
Основатель Binance Чанпэн Чжао, известный всем как CZ, посоветовал пользователям интернета быть предельно осторожными в ближайшие дни на любых сайтах подряд. Повод серьёзный: 21 октября разработчики экстренно выпустили патч для двух критических уязвимостей в PHP version 8.x, а детали бага утекли в сеть раньше официального релиза исправления.
PHP version подвела миллионы сайтов
Речь идёт об уязвимостях с идентификаторами CVE-2026-109618 и CVE-2026-109619. Проблема в том, что для их эксплуатации злоумышленнику не нужен ни логин, ни пароль - достаточно, чтобы жертва просто открыла заражённую страницу в браузере. Любой сайт на уязвимой PHP version мог превратиться в канал для кражи учётных данных или взлома устройства посетителя, и именно это так встревожило CZ.
В посте на X он написал:
Называйте меня параноиком, но будьте предельно осторожны, заходя на ЛЮБОЙ сайт в ближайшие несколько дней, потому что не все веб-админы вовремя ставят патчи безопасности.
Позже он добавил более развёрнутый комментарий о характере угрозы:
Эксплуатация была подтверждена в реальных атаках вскоре после раскрытия информации, что заставило IT-команды быстро включать защиту WAF и ставить патчи, ведь неавторизованные атаки превращали посещённые сайты в векторы кражи учётных данных или взлома устройств.
Путаница с релизом и утечка раньше срока
По данным блога PHP Foundation, оба CVE-номера начали гулять по сети уже 20 октября - на день раньше запланированного релиза, да ещё и с неверной оценкой серьёзности. Изначально фигурировала максимальная оценка 10.0 по шкале CVSS, хотя реальный показатель составил 9.2. Технических деталей эксплойта на тот момент ещё не было в открытом доступе, но паника уже началась.
Ситуацию усугубила компания Calif, одна из тех, кто обнаружил баги: она по ошибке опубликовала видео с рабочим прототипом эксплойта. Параллельно компания Chainguard выпустила исправленные образы более чем за шесть часов до согласованного времени релиза. Любопытно, что сама PHP Foundation утверждала, будто на момент публикации рабочих эксплойтов ещё не существовало, тогда как CZ в своём посте уже описывал подтверждённые атаки в реальных условиях.
Реакция спецслужб и Cloudflare
Американское Агентство нацбезопасности (NSA Cyber) посоветовало всем организациям, работающим на PHP, готовиться к обновлению и временно отключать уязвимые системы от сети, если патч поставить немедленно не получается. Киберподразделение ФБР повторило ту же рекомендацию про отключение и попросило администраторов следить за подозрительными процессами PHP, которые неожиданно запускают командные оболочки - классический признак того, что на сервере появился web shell php.
Cloudflare, со своей стороны, заявила, что включила защитные правила файрвола по умолчанию ещё до того, как подробности уязвимости стали публичными - это дало многим сайтам временную фору.
Почему PHP до сих пор держит половину интернета
Многие удивляются, почему баг в одном языке программирования способен всколыхнуть весь крипторынок. Ответ простой - PHP это не какой-то нишевый инструмент, а движок, на котором до сих пор работает значительная часть веб-сайтов планеты, от личных блогов до админ-панелей бирж. Разработчики часто проверяют код в песочнице вроде phpsandbox или пробуют небольшой фрагмент через compiler php online прямо в браузере, прежде чем выкатить его на реальный хостинг.
Типичный стек на PHP version использует массу базовых функций, уязвимости в которых потенциально опасны:
- работа с датами через date php
- перебор массивов циклом for each php или обычным php for
- отправка писем через php mailer или напрямую через sendmail php
- фоновые задачи по расписанию через cron php
- сетевые запросы через curl php
- генерация токенов функцией php random
- обработка строк (php string) и пауза выполнения через php sleep
Документацию по всем этим функциям разработчики обычно смотрят на официальном php net или на образовательных ресурсах вроде php w3s. Проблема в том, что многие сайты до сих пор крутятся на устаревшем php7 или дешёвом общем php host, где обновления ставят далеко не сразу - именно таких админов и имел в виду CZ, говоря о тех, кто не успевает за патчами.
BNB Chain и PancakeSwap заявили, что их это не касается
Предупреждение CZ не означает, что уязвима абсолютно каждая криптоплатформа. Представитель BNB Chain Нина Ронг подтвердила, что сеть не использует PHP в своём технологическом стеке. Децентрализованная биржа PancakeSwap тоже оперативно отчиталась, что PHP нигде не фигурирует в её инфраструктуре и средства пользователей в безопасности.
CZ репостнул заявление PancakeSwap с комментарием:
Большинству проектов стоило бы хотя бы опубликовать такое же подтверждение.
Этот жест выглядит как призыв к прозрачности - в условиях, когда новости об уязвимостях разлетаются быстрее официальных разъяснений, краткое "у нас всё под контролем" от команды проекта реально снижает панику среди держателей токенов. Кстати, похожая история недавно случалась и в другом сегменте инфраструктуры - двухчасовой сбой валидаторов XRP Ledger тоже заставил сообщество понервничать, пока команда не объяснила масштаб проблемы.
Причём тут OpenAI и спор о будущем кибербезопасности
Отдельный поворот сюжета - заявление OpenAI о том, что её модели помогли исследователям найти эти самые баги в рамках инициативы Patch the Planet. Компания назвала уязвимость "одной из самых значимых за последнее время" и подчеркнула, что, насколько ей известно, передовой ИИ добрался до проблемы раньше злоумышленников.
Сооснователь Ethereum Виталик Бутерин и раньше поднимал тему того, что взлом с помощью ИИ может сделать классическую кибербезопасность бессмысленной - если модель способна доказывать сложные математические теоремы, она в теории способна и доказать безопасность программы. Правда, как показывает история с PHP version, пока что ИИ одинаково хорошо помогает и находить дыры, и закрывать их - вопрос лишь в том, кто окажется быстрее. Кстати, это не первый случай, когда чат-бот помогает залатать застарелую проблему в PHP - ранее уже рассказывали, как PHP оставался дырявым 14 лет, пока его не починил чат-бот OpenAI.
Что делать обычному пользователю
Для рядового держателя криптовалюты рекомендация CZ сводится к простой осторожности - не переходить по сомнительным ссылкам, не вводить сид-фразы на сторонних страницах и держать антивирус или блокировщик скриптов включённым хотя бы ближайшую неделю, пока основная масса сайтов не обновится. Если вы администрируете собственный сайт на PHP version, проверка актуальности патчей сейчас важнее любых других задач в бэклоге.
Эта история в очередной раз напоминает, что инфраструктурные баги в базовых технологиях бьют по крипторынку сильнее, чем кажется на первый взгляд - ведь даже падение курса биткоина на фоне новостей о компаниях вроде Tesla и Meta меркнет перед риском того, что при обычном визите на сайт у вас могут увести доступ к криптокошельку.
