В PHP нашли две уязвимости с оценкой 9,2 из 10, патчи вышли 21 октября

21 октября разработчики PHP выпустили экстренные патчи для двух уязвимостей, которые в сообщениях фигурируют под общим названием PHP2Shell. Опасность обеих оценили в 9,2 балла из 10. PHP — язык, на котором написана серверная часть множества сайтов, в том числе тех, что принимают платежи и хранят личные кабинеты.

Суть проблемы в том, что атакующий может повлиять на работу с памятью внутри PHP и добраться до данных, которые сайт обязан был защищать. Проще говоря, обойти проверку и выполнить на чужом сервере свой код. По описанию Wiz Research, удачная атака вскрывает пароли, токены аутентификации и API-ключи — то есть всё, что открывает доступ к аккаунтам и подключённым сервисам.

Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619. Первая связана с повреждением памяти при достижении лимита, вторая — с доступом к внутренним ссылкам на память после её освобождения. Исправления вышли в версиях PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12, но детали утекли раньше запланированного срока.

Cloudflare подтвердила, что злоумышленники уже пробовали использовать эти баги против её клиентов. Несколько европейских правительственных сайтов временно отключали в качестве предупредительной меры.

Кого это касается в крипте

В зоне риска прежде всего интернет-магазины, принимающие криптовалюту через платёжные модули на PHP. Интеграции WooCommerce зафиксированы у Binance Pay, Crypto.com Pay, BitPay, CoinGate и CoinPayments. Если сервер такого магазина не обновлён, последствия могут быть тяжелее, чем у обычного сайта.

Вторая категория — небольшие биржи, у которых личные кабинеты и платёжные системы написаны на PHP. При компрометации под угрозой оказываются клиентские данные и ключи.

Третья — сайты DeFi-проектов и криптокошельков. Через уязвимый интерфейс адрес получателя могут подменить на мошеннический или подтолкнуть человека к одобрению вредоносной транзакции.

Наличие интеграции само по себе не означает, что инфраструктура сервиса уязвима.

Крупные площадки с обновлёнными или изолированными системами защищены лучше. Kraken сообщила, что в 2025 году перевела основной бэкенд с PHP на Rust. BNB Chain подтвердила, что не использует PHP в своём технологическом стеке, а PancakeSwap заявила об отсутствии PHP в инфраструктуре и о том, что средства пользователей в безопасности. Блокчейн-сети, смарт-контракты и приватные ключи на аппаратных кошельках, которые хранятся офлайн, этими уязвимостями напрямую не затрагиваются.

Часть предупреждений прозвучала от участников рынка. Основатель Binance Чанпэн Чжао 21 октября написал в X: "Call me paranoid, but be extra careful visiting ANY web site in the next few days, as some web admins are not always up-to-date with security patches". В том же обращении он отметил, что эксплуатация была подтверждена в дикой среде вскоре после раскрытия, что вызвало быстрые защиты WAF и установку патчей ИТ-командами, поскольку неаутентифицированные атаки могли превратить посещаемые сайты в векторы для кражи учётных данных или эксплуатации устройств. Чжао репостнул заявление PancakeSwap с комментарием, что большинство проектов должны хотя бы опубликовать подобное подтверждение. Компания SlowMist в тот же день сообщила, что её система анализа угроз MistEye провела глобальное сканирование PHP-активов в криптоотрасли, и призвала площадки, DeFi-проекты и поставщиков кошельков оценить риски и перейти на официальные пропатченные версии.

Что делать держателю средств

Самому поставить заплатку на чужой сайт нельзя — это работа его операторов. Но снизить возможные потери можно.

• Проверить официальные объявления своей биржи о мерах безопасности и убедиться, что её веб-инфраструктура обновлена.
• Включить надёжную двухфакторную аутентификацию или passkey (пароль-ключ). Если площадка это позволяет, добавить свой адрес в список разрешённых для вывода средств.
• Сверять адрес получателя перед каждой отправкой криптовалюты, особенно на незнакомом сайте, и подтверждать его через независимый канал связи.
• Не доверять срочным сообщениям о безопасности: на волне шума мошенники рассылают фишинговые ссылки на поддельные страницы входа и запросы на подключение кошелька.

Нет причин полагать, что все криптобиржи скомпрометированы, или немедленно выводить средства. Оценка рисков не подкреплена данными о взломах конкретных платёжных сервисов или крупных бирж через PHP2Shell.