Der Binance-Gründer Changpeng Zhao hat Kryptowährungsnutzer davor gewarnt, in den kommenden Tagen beim Besuch von Websites besondere Vorsicht walten zu lassen, nachdem zwei kritische Schwachstellen in PHP entdeckt wurden, einer Programmiersprache, die von Millionen von Websites weltweit verwendet wird.
Zusammenfassung
- Der Binance-Gründer Changpeng Zhao hat Kryptowährungsnutzer dazu aufgerufen, beim Besuch von Websites vorsichtig zu sein, nachdem zwei kritische PHP-Schwachstellen entdeckt wurden.
- Die Schwachstellen könnten Angreifern ermöglichen, bösartigen Code auf betroffenen Servern auszuführen, einschließlich solcher, die beliebte Plattformen wie WordPress und Magento betreiben.
- PHP-Entwickler veröffentlichten am 21. Oktober Notfall-Sicherheitspatches, nachdem Details der Schwachstellen vor ihrer geplanten Offenlegung durchgesickert waren.
- Sicherheitsforscher haben Ausnutzungsversuche festgestellt, obwohl keine bestätigten Vorfälle, die Kryptowährungsbörsen oder Benutzerwallets betreffen, direkt mit den Schwachstellen in Verbindung gebracht wurden.
In einer Warnung vom 22. Oktober wies Zhao auf zwei Sicherheitslücken hin, die als CVE-2026-109618 und CVE-2026-109619 identifiziert wurden und es Angreifern ermöglichen könnten, bösartigen Code auf anfälligen Webservern auszuführen, ohne dass eine Authentifizierung erforderlich ist.
„Nenn mich paranoid, aber sei in den nächsten Tagen besonders vorsichtig beim Besuch JEDER Website“, schrieb Zhao und erklärte, dass einige Website-Administratoren möglicherweise nicht die neuesten Sicherheitspatches installiert haben.
Die Schwachstellen betreffen PHP-Installationen, die beliebte Content-Management- und E-Commerce-Plattformen unterstützen, darunter WordPress, Magento, Drupal und Joomla. Eine erfolgreiche Ausnutzung könnte Angreifern ermöglichen, die Website-Infrastruktur zu kompromittieren, auf sensible Informationen zuzugreifen oder die den Besuchern bereitgestellten Inhalte zu verändern.
Obwohl sich Zhaos Warnung an Website-Nutzer richtete, betreffen die zugrunde liegenden Schwachstellen Server und bedeuten nicht, dass der Besuch einer beliebigen PHP-basierten Website automatisch das Gerät oder die Kryptowährungs-Wallet einer Person kompromittiert.
PHP-Schwachstellen ermöglichen Angreifern die Remote-Ausführung von Code
Laut der Sicherheitsoffenlegung der PHP Foundation erhielten beide Schwachstellen Schweregradbewertungen von 9,2 von 10 und betreffen Schwächen in den Speicherverwaltungs- und Fehlerbehandlungssystemen der Programmiersprache.
Die erste Schwachstelle, CVE-2026-109618, betrifft eine Speicherbeschädigung, wenn PHP bei bestimmten Vorgängen sein konfiguriertes Speicherlimit erreicht. Unter bestimmten Bedingungen kann der Server teilweise initialisierte Daten fehlerhaft verarbeiten, wodurch ein Angreifer nicht autorisierten Code ausführen kann.
CVE-2026-109619 betrifft indessen interne Speicherreferenzen, die nach der Freigabe des zugehörigen Speichers weiterhin zugänglich bleiben. Forscher haben demonstriert, dass Angreifer die Schwäche ausnutzen könnten, um Code gegen Anwendungen auszuführen, die auf betroffenen Servern laufen.
Die Foundation bestätigte, dass eine Ausnutzung unter Standardkonfigurationen von Apache-Servern mit mod_php möglich war, während Forscher zusätzliche Angriffspfade über PHP-FPM demonstrierten.
Nach der Offenlegung veröffentlichten Entwickler am 21. Oktober gepatchte Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
Die offizielle PHP-Warnung forderte Administratoren auf, sofort zu aktualisieren, und warnte, dass vorübergehende Schutzmaßnahmen das Risiko nicht vollständig beseitigen könnten.
Ältere PHP-Installationen bleiben ein Problem, da Versionen außerhalb der unterstützten Zweige des Projekts möglicherweise von Sicherheitsfixes abhängen, die separat von Hosting-Anbietern oder Softwareherstellern bereitgestellt werden.
Notfall-Patches wurden veröffentlicht
Details zu den Schwachstellen begannen zu kursieren, bevor das PHP-Sicherheitsteam seinen geplanten Offenlegungsprozess abgeschlossen hatte.
Laut der Stiftung erschienen die beiden Schwachstellen-Identifikatoren am 20. Oktober in Online-Foren und sozialen Medien, begleitet von einer falschen Schweregradbewertung von 10,0 und einem ungenauen Veröffentlichungszeitplan.
Obwohl das ursprüngliche Leck keine technischen Exploit-Anweisungen enthielt, veröffentlichte das Sicherheitsunternehmen Calif anschließend versehentlich ein Proof-of-Concept-Video, das Angriffe gegen mehrere Ziele demonstrierte.
Kopien zirkulierten weiter, nachdem das Originalvideo entfernt worden war, was Forscher dazu veranlasste, zusätzliche Exploit-Demonstrationen zu entwickeln.
Das PHP-Team verlegte daraufhin seine geplante Sicherheitsveröffentlichung vom 22. Oktober auf den 21. Oktober vor, um Software-Distributoren Zeit zur Vorbereitung von Updates zu geben und gleichzeitig den Zeitraum zu verkürzen, in dem technische Informationen ohne verfügbare Patches zirkulieren konnten.
Die Stiftung kritisierte separat den Sicherheitsanbieter Chainguard dafür, dass er gepatchte Software-Images mehr als sechs Stunden vor der koordinierten Veröffentlichung publizierte, was Angreifern potenziell ermöglichte, die Änderungen vor der öffentlichen Offenlegung zu untersuchen.
Das Sicherheitsunternehmen Cloudflare setzte Firewall-Schutzmaßnahmen ein, bevor die Schwachstellen öffentlich wurden, und arbeitete dabei mit Forschern von OpenAI, Wiz und anderen an der Offenlegung beteiligten Organisationen zusammen.
Cloudflare erklärte, die gemeinsam als PHP2Shell bezeichneten Schwachstellen könnten betroffene Server der Remote-Code-Ausführung, Dienstunterbrechungen und der Offenlegung sensibler Daten aussetzen.
Sind Krypto-Nutzer durch kompromittierte Websites gefährdet?
Zhaos Warnung erfolgt zu einem Zeitpunkt, an dem Kryptowährungsnutzer weiterhin mit Phishing-Kampagnen konfrontiert sind, die auf betrügerischen Websites und irreführenden Anfragen nach Wallet-Zugangsdaten beruhen.
Letzte Woche berichtete crypto.news, dass gefälschte Ledger-Websites in Google-Suchergebnissen aufgetaucht seien, wobei Angreifer versuchten, über Seiten, die legitime Software nachahmten, Wallet-Wiederherstellungsphrasen zu erbeuten.
In einem weiteren Vorfall nutzten Angreifer Trezor-Phishing-E-Mails und kompromittierte Drittanbieter-Infrastruktur, um betrügerische Sicherheitsnachrichten an Kryptowährungskunden zu verbreiten.
Ein kompromittierter PHP-Server könnte Angreifern jedoch je nach erlangtem Zugriff potenziell ermöglichen, Website-Inhalte zu verändern oder betrügerische Anmelde- und Wallet-Verbindungsanfragen einzuführen.
Zum Zeitpunkt der Veröffentlichung gab es keine bestätigten Berichte über Sicherheitsvorfälle, die Kryptowährungsbörsen oder Nutzer-Wallets betrafen und direkt mit den neu offengelegten PHP-Schwachstellen in Verbindung stehen.
Das Canadian Centre for Cyber Security hat Organisationen, die internetzugängliche PHP-Anwendungen betreiben, dringend aufgefordert, anfällige Installationen zu identifizieren und die verfügbaren Sicherheitsupdates unverzüglich anzuwenden.
