Уязвимость PHP угрожает криптобиржам и обменникам: SlowMist просит срочно обновиться — баг даёт выполнить код без логина
21 октября PHP закрыл две критические дыры, через которые можно выполнить код на сервере без авторизации. SlowMist призвала биржи, DeFi-платформы и кошельки обновиться немедленно, а для PHP 8.1 и более ранних версий официальных патчей не будет.
- Дыры получили номера CVE-2026-109618 и CVE-2026-109619 и оценку 9,2 по шкале CVSS — это уровень Critical.
- Исправления вышли в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35; уязвимы все версии с 5.4 по 8.5.11.
- Для PHP 8.1 и более ранних версий официальных обновлений не будет — только минимальные патчи для тех, кто собирает из исходников, или переход на поддерживаемую ветку.
Уязвимость PHP стала главной головной болью криптоинфраструктуры в эту среду: 21 октября разработчики PHP закрыли сразу две критические дыры, через которые можно выполнить код на сервере без всякой авторизации. Компания SlowMist тут же призвала биржи, DeFi-платформы и провайдеров кошельков обновиться немедленно — по её словам, баги уже эксплуатируются.
Что произошло
Обе проблемы нашли PHP и исследователи Wiz Research. В бюллетене на php.net их описывают так. Первая (CVE-2026-109618) связана с обработкой нехватки памяти: PHP может прерваться, когда данные запроса инициализированы только частично, и очистка потом принимает мусор за корректные данные. Вторая (CVE-2026-109619) — «протухшее» глобальное состояние: внутренние данные запроса переживают освобождение памяти, и следующий запрос в том же воркере может их использовать.
Под удар попадают все установки, которые обслуживают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Самый высокий риск PHP видит у mod_php — там продемонстрирован эксплойт, при котором неавторизованный запрос запускает атаку ещё до того, как начнёт работать код самого приложения. То есть никакие проверки на уровне сайта не помогают.
Google Cloud в своём разборе отдельно отметил, что в поиске уязвимости, разработке эксплойта и проверке патча помогала модель Gemini 4 Argon. Сам Google Cloud не уязвим, но клиенты, которые крутят на нём PHP, — вполне.
Почему уязвимость PHP касается крипты
PHP — один из самых массовых серверных языков: на нём работают сайты, CMS, платёжные страницы и личные кабинеты. В крипте это не только старые обменники и платёжные шлюзы, но и админки, сервисы поддержки, партнёрские кабинеты бирж. Удалённое выполнение кода без логина — худший сценарий: атакующий может украсть данные, подменить страницу вывода или адрес для депозита.
SlowMist, по данным Coinpedia, просканировала PHP-активы криптоиндустрии своей системой MistEye сразу после раскрытия. И это не единственная проблема недели: сообщается о бэкдоре в LiteLLM версии 1.107.0, который крал облачные, SSH- и AI-ключи, о двух критических багах в Next.js и атакуемых уязвимостях нулевого дня в продуктах BeyondTrust и Ivanti.
Обновление — единственное полное решение. Все остальные меры только сужают путь атаки, но не делают сервер безопасным.
Что это значит для тебя
Как пользователь ты PHP сам не обновишь — это задача площадок. Но окно между выходом патча и его установкой — лучшее время для атак, и именно в такие дни растут случаи подмены страниц, утечек и «технических работ» с задержками вывода. Особенно это касается небольших обменников и сервисов, где сервер может годами стоять на устаревшем PHP 7.x. Как оценить надёжность площадки, мы показывали в гайде как проверить статус биржи.
Напомним, что даже крупные игроки теряют деньги с горячих кошельков: недавний пример — взлом Gamdom, когда с кошельков казино ушло около $4,2 млн. Причины там были другие, но механика одна: стоит атакующему получить доступ к серверу, и деньги клиентов уходят за минуты.
Если ты сам держишь сайт, бота или платёжную страницу на PHP, отложить обновление на понедельник — плохая идея. Для тех, кто не может обновиться сразу, PHP предлагает временные меры: выставить memory_limit=-1 так, чтобы приложение не могло его переопределить, снизить post_max_size до 8M (или до 32M, если нужны загрузки файлов) и ограничить размер и число полей запроса на уровне веб-сервера или прокси. Но это лишь сужает поверхность атаки.
Что делать
- Пользователь: включи белый список адресов вывода и 2FA через приложение, не через SMS, — подменённая страница не сможет увести деньги на чужой адрес.
- Сверяй адрес депозита по нескольким местам (приложение, история прошлых пополнений), а не только по веб-странице.
- Не держи крупные суммы на мелких обменниках и сервисах, особенно если они внезапно ушли на «технические работы».
- Владелец сервера: обнови PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапусти воркеры и пересобери контейнеры.
- Если сидишь на 8.1 или старше — переходи на поддерживаемую ветку или ищи бэкпорт у поставщика дистрибутива.
FAQ
Насколько опасна уязвимость PHP? Обе дыры оценены в 9,2 из 10 по CVSS и позволяют выполнить код на сервере без авторизации. PHP призывает всех обновиться немедленно.
Какие версии исправлены? 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимы все версии с 5.4 по 8.5.11 включительно.
Что если обновиться сразу нельзя? PHP описывает временные меры — например, снять лимит памяти и уменьшить post_max_size, — но прямо пишет, что они не делают установку безопасной.
Были ли взломы бирж через эту дыру? В прочитанных нами источниках конкретные взломы бирж через эти дыры не названы. SlowMist предупреждает, что уязвимости уже эксплуатируются, и советует криптокомпаниям ставить патч срочно.
Итог: уязвимость PHP — не про конкретную биржу, а про фундамент, на котором стоит половина веба. Площадкам нужно обновляться, а тебе — пару недель быть особенно внимательным к адресам, страницам вывода и внезапным «техработам».
Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.
