El fundador de Binance, Changpeng Zhao, ha advertido a los usuarios de criptomonedas que extremen las precauciones al visitar sitios web en los próximos días después de que se descubrieran dos vulnerabilidades críticas en PHP, un lenguaje de programación utilizado por millones de sitios web en todo el mundo.
Resumen
- El fundador de Binance, Changpeng Zhao, ha instado a los usuarios de criptomonedas a tener precaución al visitar sitios web tras el descubrimiento de dos vulnerabilidades críticas en PHP.
- Las vulnerabilidades podrían permitir a los atacantes ejecutar código malicioso en servidores afectados, incluidos aquellos que ejecutan plataformas populares como WordPress y Magento.
- Los desarrolladores de PHP publicaron parches de seguridad de emergencia el 21 de octubre después de que los detalles de las vulnerabilidades se filtraran antes de su divulgación prevista.
- Los investigadores de seguridad han detectado intentos de explotación, aunque ningún incidente confirmado que afecte a exchanges de criptomonedas o carteras de usuarios ha sido vinculado directamente con las fallas.
En una advertencia del 22 de octubre, Zhao señaló dos fallas de seguridad identificadas como CVE-2026-109618 y CVE-2026-109619, que podrían permitir a los atacantes ejecutar código malicioso en servidores web vulnerables sin requerir autenticación.
“Llámenme paranoico, pero tengan mucho cuidado al visitar CUALQUIER sitio web en los próximos días”, escribió Zhao, explicando que algunos administradores de sitios web podrían no haber instalado los últimos parches de seguridad.
Las vulnerabilidades afectan a instalaciones de PHP que soportan plataformas populares de gestión de contenido y comercio electrónico, incluidas WordPress, Magento, Drupal y Joomla. Una explotación exitosa podría permitir a los atacantes comprometer la infraestructura del sitio web, acceder a información sensible o modificar el contenido servido a los visitantes.
Aunque la advertencia de Zhao estaba dirigida a los usuarios de sitios web, las vulnerabilidades subyacentes afectan a los servidores y no significan que visitar cualquier sitio web basado en PHP comprometa automáticamente el dispositivo o la cartera de criptomonedas de una persona.
Las vulnerabilidades de PHP permiten a los atacantes ejecutar código de forma remota
Según la divulgación de seguridad de la PHP Foundation, ambas vulnerabilidades recibieron puntuaciones de gravedad de 9,2 sobre 10 e involucran debilidades en los sistemas de gestión de memoria y manejo de errores del lenguaje de programación.
La primera vulnerabilidad, CVE-2026-109618, implica corrupción de memoria cuando PHP alcanza su límite de memoria configurado durante ciertas operaciones. Bajo condiciones específicas, el servidor puede procesar incorrectamente datos parcialmente inicializados, permitiendo a un atacante ejecutar código no autorizado.
Mientras tanto, CVE-2026-109619 se refiere a referencias de memoria internas que permanecen accesibles después de que la memoria asociada ha sido liberada. Los investigadores demostraron que los atacantes podrían explotar la debilidad para ejecutar código contra aplicaciones que se ejecutan en servidores afectados.
La fundación confirmó que la explotación era posible bajo configuraciones predeterminadas de servidores Apache usando mod_php, mientras que los investigadores demostraron rutas de ataque adicionales que involucran PHP-FPM.
Tras la divulgación, los desarrolladores publicaron versiones parcheadas PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 21 de octubre.
El aviso oficial de PHP instó a los administradores a actualizar de inmediato, advirtiendo que las protecciones temporales no podían eliminar completamente el riesgo.
Las instalaciones más antiguas de PHP siguen siendo una preocupación porque las versiones fuera de las ramas soportadas del proyecto pueden depender de correcciones de seguridad proporcionadas por separado por proveedores de alojamiento o fabricantes de software.
Se han publicado parches de emergencia
Los detalles en torno a las vulnerabilidades comenzaron a circular antes de que el equipo de seguridad de PHP completara su proceso de divulgación previsto.
Según la fundación, los dos identificadores de vulnerabilidad aparecieron en foros en línea y redes sociales el 20 de octubre, acompañados de una puntuación de gravedad incorrecta de 10,0 y un calendario de publicación inexacto.
Aunque la filtración inicial no contenía instrucciones técnicas de explotación, la empresa de seguridad Calif publicó posteriormente por error un video de prueba de concepto, que demostraba ataques contra varios objetivos.
Las copias siguieron circulando después de que se eliminara el video original, lo que llevó a los investigadores a desarrollar demostraciones de explotación adicionales.
El equipo de PHP posteriormente adelantó su publicación de seguridad programada del 22 de octubre al 21 de octubre, dando a los distribuidores de software tiempo para preparar actualizaciones mientras reducía el período durante el cual la información técnica podía circular sin que hubiera parches disponibles.
La fundación criticó por separado al proveedor de seguridad Chainguard por publicar imágenes de software parcheadas más de seis horas antes de la publicación coordinada, lo que potencialmente permitía a los atacantes examinar los cambios antes de la divulgación pública.
La empresa de seguridad Cloudflare desplegó protecciones de firewall antes de que las vulnerabilidades se hicieran públicas, trabajando junto con investigadores de OpenAI, Wiz y otras organizaciones involucradas en la divulgación.
Cloudflare dijo que las vulnerabilidades, denominadas colectivamente PHP2Shell, podrían exponer los servidores afectados a ejecución remota de código, interrupción del servicio y exposición de datos sensibles.
¿Usuarios de criptomonedas en riesgo por sitios web comprometidos?
La advertencia de Zhao se produce mientras los usuarios de criptomonedas continúan enfrentando campañas de phishing que dependen de sitios web fraudulentos y solicitudes engañosas de credenciales de billeteras.
La semana pasada, crypto.news informó que sitios web falsos de Ledger habían aparecido en los resultados de búsqueda de Google, con atacantes intentando recopilar frases de recuperación de billeteras a través de páginas que suplantaban software legítimo.
Otro incidente vio a atacantes usando correos electrónicos de phishing de Trezor e infraestructura de terceros comprometida para distribuir mensajes de seguridad fraudulentos a clientes de criptomonedas.
Sin embargo, un servidor PHP comprometido podría potencialmente permitir a los atacantes alterar el contenido del sitio web o introducir solicitudes fraudulentas de inicio de sesión y conexión de billetera, dependiendo del acceso obtenido.
Hasta el momento de la publicación, no ha habido informes confirmados de incidentes de seguridad que afecten a exchanges de criptomonedas o billeteras de usuarios directamente vinculados a las vulnerabilidades de PHP recién divulgadas.
El Centro Canadiense para la Ciberseguridad ha instado a las organizaciones que operan aplicaciones PHP expuestas a internet a identificar instalaciones vulnerables y aplicar las actualizaciones de seguridad disponibles de inmediato.
