CZ warnt Krypto-Nutzer vor kritischen PHP-Sicherheitslücken
Changpeng Zhao (CZ), CEO von Binance, hat Internetnutzer dazu aufgerufen, in den kommenden Tagen besonders vorsichtig beim Besuch von Websites zu sein. Grund dafür sind zwei PHP-Sicherheitslücken, die am 21. Oktober behoben wurden, nachdem ihre Details vorzeitig bekannt wurden.
Da Angreifer keine Anmeldung benötigen, um diese Schwachstellen auszunutzen, könnte eine einfache Website-Besuch zu gestohlenen Zugangsdaten oder einem kompromittierten Gerät führen, warnte CZ.
Bestätigte Ausnutzung in freier Wildbahn
In einem Beitrag vom 21. Oktober auf X bezog sich Zhao auf die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 und schrieb:
“Call me paranoid, but be extra careful visiting ANY web site in the next few days, as some web admins are not always up-to-date with security patches.”
Die NSA Cyber-Abteilung riet Organisationen, die PHP verwenden, sich auf ein Update vorzubereiten und das betroffene System offline zu nehmen, falls ein sofortiges Patchen nicht möglich ist. Die Cyber-Abteilung des FBI wiederholte die Offline-Option und forderte Betreiber auf, auf PHP-Prozesse zu achten, die unerwartet Kommandozeilen öffnen. Cloudflare erklärte, dass es standardmäßige Firewall-Schutzmaßnahmen aktiviert habe, bevor die Schwachstellen öffentlich wurden.
Laut einem Blogbeitrag der PHP Foundation begannen die beiden CVE-Nummern am 20. Oktober online zu kursieren, mit einer falschen Veröffentlichungszeit und einem Schweregrad von 10.0 statt der tatsächlichen 9.2, obwohl keine technischen Details bekannt waren.
Calif, eines der Unternehmen, das die Fehler meldete, veröffentlichte dann versehentlich ein Proof-of-Concept-Video, und Chainguard veröffentlichte Patch-Images mehr als sechs Stunden vor der vereinbarten Zeit. Interessanterweise stellte die Foundation fest, dass keine funktionalen Exploits gefunden wurden, als die Veröffentlichung erfolgte, während CZs Beitrag von bestätigten Angriffen danach berichtet.
“Exploitation was confirmed in the wild soon after disclosure, prompting quick WAF protections and patching by IT teams, as unauthenticated attacks could turn visited sites into vectors for credential theft or device exploits,” stated the Binance founder.
BNB Chain und PancakeSwap melden keine Beeinträchtigung
Die Warnung bedeutet nicht, dass jede Kryptowährungsplattform gefährdet ist. Nina Rong, eine Führungskraft bei BNB Chain, bestätigte, dass das Netzwerk PHP nicht in seinem Technologie-Stack verwendet, während die dezentrale Börse PancakeSwap erklärte, dass sie PHP in ihrer Infrastruktur nicht verwendet und die Gelder der Nutzer sicher seien.
Zhao teilte anschließend die Erklärung von PancakeSwap und kommentierte, dass „die meisten Projekte zumindest eine solche Bestätigung posten sollten“.
Unterdessen erklärte OpenAI, dass seine Modelle den Forschern geholfen haben, die Fehler im Rahmen der Initiative „Patch the Planet“ zu finden, und bezeichnete den Fehler als „eine der einflussreichsten Schwachstellen der letzten Zeit“. Nach Kenntnis des Unternehmens sei die fortschrittliche KI dem Problem vor den Angreifern auf die Spur gekommen.
Ethereum-Mitbegründer Vitalik Buterin hat die Idee vorangetrieben, dass KI-Hacking die Cybersicherheit aussichtslos macht, mit der Begründung, dass KI, die schwierige mathematische Theoreme liefern kann, auch ein Programm als sicher beweisen könnte.
