Le fondateur de Binance, Changpeng Zhao, a averti les utilisateurs de cryptomonnaies de faire preuve d'une prudence accrue lors de la visite de sites web au cours des prochains jours, après la découverte de deux vulnérabilités critiques dans PHP, un langage de programmation utilisé par des millions de sites web dans le monde.
Résumé
- Le fondateur de Binance, Changpeng Zhao, a exhorté les utilisateurs de cryptomonnaies à la prudence lors de la visite de sites web après la découverte de deux vulnérabilités critiques dans PHP.
- Les vulnérabilités pourraient permettre aux attaquants d'exécuter du code malveillant sur les serveurs affectés, y compris ceux exécutant des plateformes populaires telles que WordPress et Magento.
- Les développeurs de PHP ont publié des correctifs de sécurité d'urgence le 21 octobre après que les détails des vulnérabilités ont fuité avant leur divulgation prévue.
- Les chercheurs en sécurité ont détecté des tentatives d'exploitation, bien qu'aucun incident confirmé affectant les plateformes d'échange de cryptomonnaies ou les portefeuilles des utilisateurs n'ait été directement lié aux failles.
Dans un avertissement du 22 octobre, Zhao a pointé du doigt deux failles de sécurité identifiées comme CVE-2026-109618 et CVE-2026-109619, qui pourraient permettre aux attaquants d'exécuter du code malveillant sur des serveurs web vulnérables sans nécessiter d'authentification.
« Appelez-moi paranoïaque, mais soyez extrêmement prudent en visitant N'IMPORTE QUEL site web dans les prochains jours », a écrit Zhao, expliquant que certains administrateurs de sites web pourraient ne pas avoir installé les derniers correctifs de sécurité.
Les vulnérabilités affectent les installations PHP prenant en charge des plateformes populaires de gestion de contenu et de commerce électronique, notamment WordPress, Magento, Drupal et Joomla. Une exploitation réussie pourrait permettre aux attaquants de compromettre l'infrastructure des sites web, d'accéder à des informations sensibles ou de modifier le contenu servi aux visiteurs.
Bien que l'avertissement de Zhao était destiné aux utilisateurs de sites web, les vulnérabilités sous-jacentes affectent les serveurs et ne signifient pas que la visite de n'importe quel site web basé sur PHP compromet automatiquement l'appareil ou le portefeuille de cryptomonnaies d'une personne.
Les vulnérabilités PHP permettent aux attaquants d'exécuter du code à distance
Selon la divulgation de sécurité de la PHP Foundation, les deux vulnérabilités ont reçu des scores de gravité de 9,2 sur 10 et impliquent des faiblesses dans les systèmes de gestion de la mémoire et de traitement des erreurs du langage de programmation.
La première vulnérabilité, CVE-2026-109618, implique une corruption de la mémoire lorsque PHP atteint sa limite de mémoire configurée lors de certaines opérations. Dans des conditions spécifiques, le serveur peut traiter incorrectement des données partiellement initialisées, permettant à un attaquant d'exécuter du code non autorisé.
Pendant ce temps, CVE-2026-109619 concerne des références de mémoire internes qui restent accessibles après que la mémoire associée a été libérée. Les chercheurs ont démontré que les attaquants pouvaient exploiter la faiblesse pour exécuter du code contre des applications s'exécutant sur des serveurs affectés.
La fondation a confirmé que l'exploitation était possible dans les configurations par défaut des serveurs Apache utilisant mod_php, tandis que les chercheurs ont démontré des chemins d'attaque supplémentaires impliquant PHP-FPM.
À la suite de la divulgation, les développeurs ont publié les versions corrigées PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 le 21 octobre.
L'avis officiel de PHP a exhorté les administrateurs à mettre à jour immédiatement, avertissant que des protections temporaires ne pouvaient pas complètement éliminer le risque.
Les installations PHP plus anciennes restent une préoccupation car les versions en dehors des branches prises en charge par le projet peuvent dépendre de correctifs de sécurité fournis séparément par les fournisseurs d'hébergement ou les éditeurs de logiciels.
Des correctifs d'urgence ont été publiés
Les détails entourant les vulnérabilités ont commencé à circuler avant que l'équipe de sécurité de PHP n'achève son processus de divulgation prévu.
Selon la fondation, les deux identifiants de vulnérabilité sont apparus sur des forums en ligne et sur les réseaux sociaux le 20 octobre, accompagnés d'un score de gravité incorrect de 10,0 et d'un calendrier de publication inexact.
Bien que la fuite initiale ne contenait pas d'instructions techniques d'exploitation, la société de sécurité Calif a par la suite publié par erreur une vidéo de preuve de concept, démontrant des attaques contre plusieurs cibles.
Des copies ont continué à circuler après la suppression de la vidéo originale, incitant les chercheurs à développer des démonstrations d'exploitation supplémentaires.
L'équipe PHP a ensuite avancé sa publication de sécurité prévue du 22 octobre au 21 octobre, donnant aux distributeurs de logiciels le temps de préparer les mises à jour tout en réduisant la période pendant laquelle les informations techniques pouvaient circuler sans que des correctifs soient disponibles.
La fondation a par ailleurs critiqué le fournisseur de sécurité Chainguard pour avoir publié des images logicielles corrigées plus de six heures avant la publication coordonnée, ce qui pourrait permettre aux attaquants d'examiner les modifications avant la divulgation publique.
La société de sécurité Cloudflare a déployé des protections pare-feu avant que les vulnérabilités ne deviennent publiques, en collaboration avec des chercheurs d'OpenAI, de Wiz et d'autres organisations impliquées dans la divulgation.
Cloudflare a déclaré que les vulnérabilités, collectivement appelées PHP2Shell, pourraient exposer les serveurs concernés à l'exécution de code à distance, à des perturbations de service et à l'exposition de données sensibles.
Les utilisateurs de cryptomonnaies sont-ils exposés aux risques liés aux sites web compromis ?
L'avertissement de Zhao intervient alors que les utilisateurs de cryptomonnaies continuent de faire face à des campagnes d'hameçonnage qui reposent sur des sites web frauduleux et des demandes trompeuses d'identifiants de portefeuille.
La semaine dernière, crypto.news a rapporté que des faux sites web Ledger étaient apparus dans les résultats de recherche Google, les attaquants tentant de collecter des phrases de récupération de portefeuille via des pages usurpant l'identité de logiciels légitimes.
Un autre incident a vu des attaquants utiliser des e-mails d'hameçonnage Trezor et une infrastructure tierce compromise pour distribuer de faux messages de sécurité aux clients de cryptomonnaies.
Cependant, un serveur PHP compromis pourrait potentiellement permettre aux attaquants de modifier le contenu d'un site web ou d'introduire de fausses demandes de connexion et de connexion de portefeuille, selon l'accès obtenu.
À l'heure de la publication, aucun rapport confirmé d'incident de sécurité affectant des plateformes d'échange de cryptomonnaies ou des portefeuilles d'utilisateurs directement lié aux vulnérabilités PHP nouvellement divulguées n'a été signalé.
Le Centre canadien de cybersécurité a exhorté les organisations exploitant des applications PHP accessibles depuis Internet à identifier les installations vulnérables et à appliquer immédiatement les mises à jour de sécurité disponibles.
