CZ предупреждает о массовом риске безопасности сайтов: что такое PHP2Shell?

21 октября 2026 года команда PHP выпустила экстренные патчи безопасности для двух серьезных уязвимостей в безопасности памяти, теперь известными как PHP2Shell. 

Отслеживаемые как CVE-2026-109618 и CVE-2026-109619, эти уязвимости затрагивают практически каждую версию PHP с 5.4 и выше и могут позволить неаутентифицированное удаленное выполнение кода и раскрытие конфиденциальной памяти.

Основатель Binance Changpeng Zhao (CZ) выпустил строгий CZ предупреждение о безопасности и предупреждение на сайте CZ, призывая пользователей быть особенно осторожными при посещении любых сайтов в ближайшие дни. 

Поскольку многие сайты используют устаревшую версию PHP, простая загрузка скомпрометированной страницы может подвергнуть посетителей риску кражи учетных данных или атак на уровне устройств.

Этот всеобъемлющий справочник охватывает, что такое PHP2Shell, технические детали, патч октября 2026 года, реальное воздействие (особенно на WordPress и крипто-сайты) и практические шаги для защиты вашего крипто-кошелька и учетных записей.

Основные выводы

• PHP2Shell — это пара критических ошибок безопасности памяти в самом окружении PHP, которые позволяют неаутентифицированное удаленное выполнение кода и раскрытие памяти на затронутых серверах.
• Официальные патчи доступны только для PHP 8.2–8.5; более ранние версии остаются уязвимыми без исправлений от вендора.
• Пользователям следует избегать подозрительных сайтов, включить 2FA, использовать аппаратные кошельки и проверять, что платформы, которым они доверяют (включая биржи), подтвердили, что они не используют уязвимый PHP.

Что такое PHP2Shell?

Источник: php2shell.com

PHP2Shell — это общее название сообщества для двух связанных классов уязвимостей в ядре PHP. 

В отличие от типичных недостатков плагинов или тем, эти ошибки находятся глубоко в том, как PHP обрабатывает память, когда запрос завершается неудачно, и как глобальное состояние очищается между запросами или рабочими процессами.

Уязвимости могут оставлять испорченные или устаревшие указатели. Атакующий, отправляющий тщательно подготовленные HTTP-запросы, часто большие многочастные загрузки, может вызвать условия use-after-free, путаницу типов (включая OPcache) и повторное использование памяти между запросами. 

Результат: возможность чтения конфиденциальной памяти процессов (пароли, токены, ключи API) или достижения полного удаленного выполнения кода без какой-либо аутентификации.

Исследователи в Wiz, Калифорния, OpenAI, и другие продемонстрировали RCE до аутентификации на последних контейнерных образах WordPress, Drupal и Joomla. Даже простое приложение PHP "Привет, мир" может быть уязвимым, потому что проблема находится в среде выполнения, а не в коде приложения.

PHP управляет примерно 70% всех веб-сайтов, включая подавляющее большинство установок WordPress. Эта масштабность является причиной того, что уязвимость безопасности PHP 2026 сравнивают с прошлых событиями на уровне инфраструктуры, такими как Heartbleed или Log4Shell.

Два CVE на первый взгляд

Обе получили оценку CVSS 9.2. Ранее утечка неверно сообщала о безупречной оценке 10.0.

Хронология патча безопасности PHP Октябрь 2026

• 20 октября: Данные о двух критических уязвимостях RCE PHP начали распространяться (включая номера CVE и утвержденную оценку CVSS 10.0). Исследователи подтвердили, что утечка реальна, но оставалась под эмбарго.
• 21 октября: PHP выпустил патчи ранее, чем было запланировано изначально. Cloudflare уже развернул защиту WAF (включая новую возможность полного обнаружения транзакций) за несколько часов до публичного раскрытия.
• Скоро после выхода: Эксплуатация была подтверждена в дикой природе. Команды безопасности наблюдали, как атакующие изменяли payload для обхода ранних защит.
• С 22 октября: Организации спешат сделать инвентаризацию и обновить экземпляры PHP, в то время как WAF предоставляют временное прикрытие.

Почему CZ выпустил предупреждение для сайта

Источник: сайт php2shell

В посте, который быстро распространился по крипто Твиттеру, CZ написал:

"Называйте меня параноиком, но будьте особенно осторожны при посещении ЛЮБОГО веб-сайта в ближайшие несколько дней, так как некоторые владельцы сайтов не всегда следят за актуальностью патчей безопасности... Эксплуатация была подтверждена в дикой природе вскоре после раскрытия... неаутентифицированные атаки могут превратить посещаемые сайты в векторы кражи учетных данных или эксплуатации устройств."

Это предупреждение о безопасности CZ не ограничивается крипто-платформами. Поскольку для атаки не требуется вход в систему, скомпрометированный блог WordPress, интернет-магазин или даже новостной сайт, использующий уязвимый PHP, могут стать мишенью для атаки через заражение.

Посетители могут стать жертвами фишинга учетных данных, кражи токенов сеанса или доставки вредоносного ПО.

BNB Chain и PancakeSwap быстро подтвердили, что не используют PHP в своих системах. CZ призвал другие проекты выпустить аналогичные заявления, подчеркивая, что прозрачность сама по себе теперь является частью безопасности крипто-сайтов.

Влияние на пользователей криптовалюты и биржи

Уязвимость PHP2Shell вызывает несколько специфических для криптовалют рисков:

• Атаки фишинга в криптовалюте: Злоумышленники могут превратить обычные веб-сайты в страницы для сбора учетных данных или внедрять вредоносные скрипты, нацеленные на кошельки в браузере.
• Риск для бирж и платформ: Любой централизованный или децентрализованный сервис, чьи фронтенды или админ-панели работают на уязвимом PHP, потенциально подвержен риску до тех пор, пока уязвимость не будет устранена.
• Векторы откачки кошелька: Раскрытие памяти может привести к утечке ключей API, куки-сесий или даже приватных ключей, если они когда-либо обрабатывались рабочим процессом PHP.
• Риск из-за цепочки поставок и третьих лиц: Многие криптопроекты полагаются на WordPress для блогов, документации или маркетинговых сайтов. Скомпрометированный блог все равно может нанести ущерб репутации и доверию пользователей.

Даже если крупная биржа не использует PHP, пользователи, посещающие незапатченные сторонние сайты, оставаясь в аккаунтах биржи или кошельках браузера, остаются под повышенным риском.

Читайте также: CZ BOOK (CZBOOK): Токен BSC, вдохновленный CZ из Binance – Цена и руководство 2025

Официальные патчи и поддерживаемые версии

Только четыре текущие поддерживаемые ветви PHP получили исправления:

Все старые ветви (8.1 и ниже, 7.x, 5.x) находятся на стадии завершения. Они никогда не получат официальный патч PHP. Операторам необходимо либо обновиться, изолировать системы, либо разместить их за надежными WAF и сетевыми контролями.

Обновление WordPress, Drupal или плагинов само по себе не решает проблему. Необходимо обновить сам PHP и перезапустить рабочие процессы веб-сервера/PHP-FPM.

Как защитить крипто-кошелек для операторов веб-сайтов и серверов

• Проинвентаризируйте каждую установку PHP, включая те, которые скрыты внутри панелей управления, устройств и программного обеспечения от поставщиков.
• Немедленно обновитесь до исправленной версии и перезапустите службы.
• Сохраняйте защиту WAF Cloudflare (или аналогов) включенной, они были развернуты рано и продолжают обновляться.
• Следите за необычными многокомпонентными запросами, повторяющимися ошибками 500, неожиданными запусками процессов рабочего процесса PHP и аномальными куками PHPSESSID.
• Для систем, которые не могут быть быстро запатчены, рассмотрите возможность изоляции их от общественного интернета или установления memory_limit = -1 (с правильными ограничениями cgroup на уровне ОС) в качестве временной меры.

Читайте также: CZ Крипто Плейбук: правительства исследуют токенизированные акции

Для обычных пользователей криптовалюты: как защитить крипто-кошелек

• Считайте каждый веб-сайт потенциально враждебным в течение следующих нескольких дней.
• Предпочитайте аппаратные кошельки (Ledger, Trezor и др.) для значительных активов и никогда не вводите семенные фразы на каких-либо веб-сайтах.
• Включите 2FA (предпочтительно на основе приложения или аппаратный) на каждой бирже и сервисе кошелька.
• Используйте изоляцию браузера или отдельные профили браузера для криптовалютной активности.
• Избегайте подключения кошельков к незнакомым dApps или сайтам, пока волна исправлений не завершится в значительной степени.
• Остерегайтесь фишинговых электронных писем и сообщений, в которых упоминаются "срочные обновления безопасности PHP" или фальшивые уведомления от биржи.
• Предпочитайте платформы, которые публично подтвердили, что их системы не подвержены риску.

Эти привычки составляют ядро хорошей безопасности крипто-сайтов и остаются ценными даже после устранения этой конкретной уязвимости.

Широкие уроки из уязвимости безопасности PHP 2026

PHP2Shell иллюстрирует две современные реальности. Во-первых, проблемы с безопасностью памяти могут оставаться неактивными более десяти лет, пока не появятся подходящие условия и необходимые инструменты.

Во-вторых, пограничный ИИ значительно снизил стоимость превращения сложных цепочек с несколькими багами в надежные эксплойты. То, что когда-то требовало элитных специализированных команд, теперь можно быстро итеративно улучшать с помощью ИИ.

В то же время согласованный ответ, исследователи, команда PHP, Cloudflare, крупные облачные провайдеры и другие показывают, что отрасль все еще может действовать быстро, когда stakes высоки.

Читайте также: Почему CZ похвалил Solana? Объяснение офиса в Китае

Заключение

События безопасности, такие как октябрьская патч безопасности PHP 2026 года, напоминают нам, что криптоэкосистема так же сильна, как ее самое слабое звено, будь то заброшенный блог на WordPress или привычки пользователя в браузере.

В Bitrue мы серьезно относимся к инфраструктуре и безопасности пользователей. Наша платформа спроектирована с современными, не-PHP стеками, где это уместно, с непрерывным мониторингом и сильным акцентом на обучение пользователей.

Для последних новостей безопасности, анализа рынка и практических рекомендаций о том, как защитить активы криптовалютного кошелька, посетите официальный Bitrue Blog регулярно. 

И когда вы будете готовы торговать с уверенностью, изучите широкий спектр поддерживаемых активов Bitrue, конкурентные сборы и надежные функции безопасности.

Будьте в безопасности, устанавливайте патчи рано и никогда не делитесь своей мнемонической фразой. Следующая критическая уязвимость — это только вопрос времени, подготовка — лучшая защита.

Часто задаваемые вопросы

1. Что такое PHP2Shell простыми словами?

PHP2Shell — это название, данное двум критическим ошибкам (CVE-2026-109618 и CVE-2026-109619) в самом языке программирования PHP. Они позволяют злоумышленникам запускать код на уязвимых веб-серверах без входа в систему и читать чувствительную память.

2. Влияет ли уязвимость PHP2Shell на криптобиржи?

Это зависит от того, использует ли биржа или ее связанные веб-сайты уязвимый PHP. Несколько крупных проектов уже подтвердили, что они не используют PHP. Всегда проверяйте официальные заявления и соблюдайте хорошие личные практики безопасности.

3. Является ли WordPress автоматически безопасным после обновления плагинов и тем?

Нет. Это уязвимость PHP WordPress на уровне выполнения. Вам нужно обновить базовую версию PHP и перезапустить процессы веб-сервера.

4. Что мне делать, если я не могу немедленно обновить PHP?

Поместите сайт за современным WAF (бесплатный план Cloudflare уже включает соответствующие правила), ограничьте публичный доступ, если это возможно, внимательно следите за журналами и придавайте приоритет обновлению. Временные изменения конфигурации, такие как удаление ограничения памяти, являются только неполными мерами.

5. Как предупреждение веб-сайта CZ влияет на мое повседневное использование интернета?

В ближайшие несколько дней будьте особенно осторожны при посещении незнакомых или несущественных веб-сайтов, особенно тех, которые могут все еще работать на устаревшем PHP. Придерживайтесь известных, высоко репутационных сайтов и минимизируйте сеансы кошелька и биржи.

Отказ от ответственности: Мнения, высказанные в этом документе, принадлежат исключительно автору и не отражают взгляды этой платформы. Эта платформа и ее аффилированные лица отказываются от какой-либо ответственности за точность или соответствие предоставленной информации. Она служит только для информационных целей и не предназначена в качестве финансового или инвестиционного совета.