КриптоЛампа
SlowMist предупредила о рисках PHP-уязвимостей для Web3-сервисов
MistEye выявила PHP на 793 из 1488 доменов криптоиндустрии. Это не подтверждает их уязвимость; исправления для двух ошибок выпущены 21 октября.
Система мониторинга MistEye обнаружила признаки использования PHP у 793 из 1488 проверенных доменов криптоиндустрии — около 53,3%. SlowMist подчеркнула, что это не означает, будто сайты уязвимы или уже скомпрометированы.
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с обработкой памяти в PHP. При определённых условиях они позволяют удалённо выполнять код на сервере без аутентификации. Исправления выпущены 21 октября для версий PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; временные ограничения доступа и изменение настроек не заменяют обновление.
По описанию SlowMist, захват сервера может позволить подменить адрес контракта, получателя средств или параметры разрешения на расходование токенов. Злоумышленники также могут похитить пароли, API-ключи и учётные данные. Риск для средств зависит от изоляции данных и прав веб-сервера; компания рекомендует отделять системы управления активами от веб-инфраструктуры и ограничивать полномочия компонентов.
Amazon зафиксировала попытку атаки в сети серверов-ловушек MadPot 17 октября, однако успешность подобных атак на реальные системы оставалась неясной. SlowMist уточнила, что уязвимость сама по себе не взламывает пользовательские кошельки и подписи. Пользователям рекомендуют проверять адреса и разрешения перед подписанием и остерегаться предложений о «компенсации» или «миграции активов».
Разобраться в теме новости
Address poisoning: как подменяют похожий адрес в истории
Почему нельзя копировать получателя из случайного перевода. Как проверять полный адрес, собственную адресную книгу и реквизиты перед отправкой криптовалюты.
Открыть инструкцию ПОШАГОВО
Биржа или личный кошелёк: где хранить криптовалюту
Как сравнить биржевой баланс и самостоятельное хранение: контроль ключей, восстановление доступа, ограничения вывода и подготовка к первой отправке.
Открыть инструкцию ПОШАГОВОЧто делать при споре в P2P-сделке: оплата, доказательства и поддержка
Как действовать при задержке выдачи криптовалюты или споре об оплате P2P: сохранить доказательства, выбрать официальный канал и не ухудшить положение повторным платежом.
Открыть инструкцию