Changpeng Zhao (CZ) raccomanda agli utenti di internet di prestare particolare attenzione sui siti web nei prossimi giorni, dopo che il 21 ottobre sono state corrette due vulnerabilità di PHP, i cui dettagli erano trapelati in anticipo.
Poiché gli aggressori non hanno bisogno di effettuare il login per sfruttare queste vulnerabilità, un sito web che qualcuno visita semplicemente potrebbe diventare una via d'accesso per il furto di credenziali o la compromissione di un dispositivo, ha avvertito CZ.
Sfruttamento confermato in natura
In un post del 21 ottobre su X , in riferimento alle vulnerabilità CVE-2026-109618 e CVE-2026-109619, Zhao ha scritto:
"Potrei anche sembrare paranoico, ma fate molta attenzione quando visitate QUALSIASI sito web nei prossimi giorni, perché alcuni amministratori di siti web non sempre aggiornano le patch di sicurezza."
La NSA Cyber ha consigliato alle organizzazioni che utilizzano PHP di prepararsi a un aggiornamento e di mettere offline il sistema interessato qualora l'applicazione della patch non fosse immediata. La divisione informatica dell'FBI ha ribadito l'opzione di mettere offline il sistema e ha chiesto agli operatori di monitorare i processi PHP che avviano inaspettatamente shell di comando. Cloudflare ha dichiarato di aver attivato le protezioni firewall predefinite prima che le vulnerabilità diventassero pubbliche.
Secondo un post sul blog della PHP Foundation, i due codici CVE hanno iniziato a circolare online il 20 ottobre con un orario di rilascio errato e un punteggio di gravità di 10.0 anziché il reale 9.2, sebbene non fossero disponibili dettagli tecnici.
Calif, una delle aziende che ha segnalato i bug, ha poi pubblicato per errore un video dimostrativo, e Chainguard ha rilasciato le immagini della patch con oltre sei ore di anticipo rispetto all'orario concordato. Curiosamente, la fondazione ha affermato che non erano stati trovati exploit funzionanti al momento del rilascio, mentre il post di CZ descrive attacchi confermati successivamente.
"Lo sfruttamento della vulnerabilità è stato confermato in natura poco dopo la sua divulgazione, spingendo i team IT ad implementare rapidamente protezioni WAF e ad applicare patch, poiché gli attacchi non autenticati potevano trasformare i siti visitati in vettori per il furto di credenziali o per lo sfruttamento delle vulnerabilità dei dispositivi", ha dichiarato il fondatore di Binance.
BNB Chain e PancakeSwap affermano che i loro sistemi non sono stati interessati
L'avvertimento non significa che ogni piattaforma di criptovalute sia vulnerabile. Nina Rong, dirigente di BNB Chain, ha confermato che la rete non utilizza PHP nel suo stack tecnologico, mentre l'exchange decentralizzato PancakeSwap ha dichiarato di non utilizzare PHP in nessuna parte della sua infrastruttura e che i fondi degli utenti sono al sicuro.
Zhao ha successivamente ripubblicato la dichiarazione di PancakeSwap, commentando che "La maggior parte dei progetti dovrebbe almeno pubblicare una conferma di questo tipo".
Nel frattempo, OpenAI ha dichiarato che i suoi modelli hanno aiutato i ricercatori a individuare i bug attraverso l'iniziativa Patch the Planet e ha definito il bug "una delle vulnerabilità più significative degli ultimi tempi". A sua conoscenza, ha aggiunto l'azienda, l'intelligenza artificiale all'avanguardia ha individuato il problema prima ancora degli aggressori.
Vitalik Buterin, co-fondatore di Ethereum, ha sostenuto l'idea che gli attacchi dell'IA rendano la sicurezza informatica irrimediabile, argomentando che un'IA in grado di fornire teoremi matematici complessi potrebbe anche dimostrare la sicurezza di un programma.
L'articolo CZ avverte gli utenti di criptovalute: vulnerabilità critiche di PHP mettono a rischio i siti web è apparso per la prima volta su CryptoPotato .