КриптоЛампа
SlowMist предупредила о рисках PHP-уязвимостей для Web3-сервисов
MistEye выявила PHP на 793 из 1488 доменов криптоиндустрии. Это не подтверждает их уязвимость; исправления для двух ошибок выпущены 21 октября.
Система мониторинга MistEye обнаружила признаки использования PHP у 793 из 1488 проверенных доменов криптоиндустрии — около 53,3%. SlowMist подчеркнула, что это не означает, будто сайты уязвимы или уже скомпрометированы.
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с обработкой памяти в PHP. При определённых условиях они позволяют удалённо выполнять код на сервере без аутентификации. Исправления выпущены 21 октября для версий PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; временные ограничения доступа и изменение настроек не заменяют обновление.
По описанию SlowMist, захват сервера может позволить подменить адрес контракта, получателя средств или параметры разрешения на расходование токенов. Злоумышленники также могут похитить пароли, API-ключи и учётные данные. Риск для средств зависит от изоляции данных и прав веб-сервера; компания рекомендует отделять системы управления активами от веб-инфраструктуры и ограничивать полномочия компонентов.
Amazon зафиксировала попытку атаки в сети серверов-ловушек MadPot 17 октября, однако успешность подобных атак на реальные системы оставалась неясной. SlowMist уточнила, что уязвимость сама по себе не взламывает пользовательские кошельки и подписи. Пользователям рекомендуют проверять адреса и разрешения перед подписанием и остерегаться предложений о «компенсации» или «миграции активов».
Разобраться в теме новости
Как посмотреть разрешения токенов кошелька без подключения
Как проверить доступы смарт-контрактов к токенам через публичный адрес: выбор сети, лимиты, распорядители и отличие просмотра от отзыва разрешений.
Открыть инструкцию ПОШАГОВО
Как проверить статус перевода Bitcoin по TXID
Пошаговая проверка Bitcoin-перевода: где искать TXID, как читать подтверждения и что делать, если сеть видит операцию, а биржа не зачисляет BTC.
Открыть инструкцию ОБЪЯСНЯЕМКак защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор