Pendiri Binance CZ memperingatkan pengguna kripto tentang kerentanan keamanan PHP yang kritis

Pendiri Binance, Changpeng Zhao, telah memperingatkan pengguna cryptocurrency untuk lebih berhati-hati saat mengunjungi situs web dalam beberapa hari ke depan setelah dua kerentanan kritis ditemukan dalam PHP, bahasa pemrograman yang digunakan oleh jutaan situs web di seluruh dunia.

Ringkasan

• Pendiri Binance, Changpeng Zhao, telah mendesak pengguna cryptocurrency untuk berhati-hati saat mengunjungi situs web setelah penemuan dua kerentanan kritis PHP.
• Kerentanan tersebut dapat memungkinkan penyerang untuk mengeksekusi kode berbahaya di server yang terpengaruh, termasuk yang menjalankan platform populer seperti WordPress dan Magento.
• Pengembang PHP merilis patch keamanan darurat pada 21 Oktober setelah rincian kerentanan bocor sebelum pengungkapan yang direncanakan.
• Peneliti keamanan telah mendeteksi upaya eksploitasi, meskipun tidak ada insiden yang dikonfirmasi yang mempengaruhi bursa cryptocurrency atau dompet pengguna yang secara langsung terkait dengan kerentanan tersebut.

Dalam peringatan pada 22 Oktober, Zhao menunjukkan dua kerentanan keamanan yang diidentifikasi sebagai CVE-2026-109618 dan CVE-2026-109619, yang dapat memungkinkan penyerang untuk mengeksekusi kode berbahaya di server web yang rentan tanpa memerlukan otentikasi.

Sebut saya paranoid, tetapi berhati-hatilah saat mengunjungi SITUS WEB mana pun dalam beberapa hari ke depan, karena beberapa admin web tidak selalu memperbarui patch keamanan.

Dua kerentanan (CVE-2026-109618 dan CVE-2026-109619) dilaporkan untuk PHP, bahasa pemrograman web, yang mempengaruhi server... --- CZ 🔶 BNB (@cz_binance) 21 Oktober 2026

"Sebut saya paranoid, tetapi berhati-hatilah saat mengunjungi SITUS WEB mana pun dalam beberapa hari ke depan," tulis Zhao, menjelaskan bahwa beberapa administrator situs web mungkin belum menginstal patch keamanan terbaru.

Kerentanan tersebut mempengaruhi instalasi PHP yang mendukung platform manajemen konten dan e-commerce populer, termasuk WordPress, Magento, Drupal, dan Joomla. Eksploitasi yang berhasil dapat memungkinkan penyerang untuk mengkompromikan infrastruktur situs web, mengakses informasi sensitif, atau memodifikasi konten yang disajikan kepada pengunjung.

Meskipun peringatan Zhao ditujukan kepada pengguna situs web, kerentanan yang mendasarinya mempengaruhi server dan tidak berarti bahwa mengunjungi situs web berbasis PHP secara otomatis mengkompromikan perangkat atau dompet cryptocurrency seseorang.

Kerentanan PHP memungkinkan penyerang mengeksekusi kode dari jarak jauh

Menurut pengungkapan keamanan dari PHP Foundation, kedua kerentanan tersebut menerima skor keparahan 9,2 dari 10 dan melibatkan kelemahan dalam manajemen memori dan sistem penanganan kesalahan bahasa pemrograman tersebut.

Kerentanan pertama, CVE-2026-109618, melibatkan kerusakan memori ketika PHP mencapai batas memori yang dikonfigurasi selama operasi tertentu. Dalam kondisi tertentu, server dapat memproses data yang sebagian diinisialisasi secara tidak benar, memungkinkan penyerang untuk mengeksekusi kode yang tidak sah.

Sementara itu, CVE-2026-109619 berkaitan dengan referensi memori internal yang tetap dapat diakses setelah memori terkait telah dilepaskan. Peneliti menunjukkan bahwa penyerang dapat mengeksploitasi kelemahan ini untuk mengeksekusi kode terhadap aplikasi yang berjalan di server yang terpengaruh.

Yayasan tersebut mengonfirmasi bahwa eksploitasi mungkin terjadi di bawah konfigurasi default server Apache yang menggunakan mod_php, sementara peneliti menunjukkan jalur serangan tambahan yang melibatkan PHP-FPM.

Setelah pengungkapan, pengembang merilis versi yang telah diperbaiki PHP 8.2.35, 8.3.36, 8.4.27, dan 8.5.12 pada 21 Oktober.

Pemberitahuan resmi PHP mendesak administrator untuk segera memperbarui, memperingatkan bahwa perlindungan sementara tidak dapat sepenuhnya menghilangkan risiko.

Instalasi PHP yang lebih lama tetap menjadi perhatian karena versi di luar cabang yang didukung proyek mungkin bergantung pada perbaikan keamanan yang disediakan secara terpisah oleh penyedia hosting atau vendor perangkat lunak.

Patch darurat telah dirilis

Rincian seputar kerentanan mulai beredar sebelum tim keamanan PHP menyelesaikan proses pengungkapan yang direncanakan.

Menurut yayasan, dua pengidentifikasi kerentanan muncul di forum online dan media sosial pada 20 Oktober, disertai dengan skor keparahan yang salah sebesar 10.0 dan jadwal rilis yang tidak akurat.

Meskipun kebocoran awal tidak mengandung instruksi eksploitasi teknis, perusahaan keamanan Calif kemudian secara tidak sengaja menerbitkan video bukti konsep yang menunjukkan serangan terhadap beberapa target.

Salinan video tersebut terus beredar setelah video asli dihapus, mendorong peneliti untuk mengembangkan demonstrasi eksploitasi tambahan.

Tim PHP kemudian memajukan rilis keamanan terjadwalnya dari 22 Oktober ke 21 Oktober, memberikan waktu bagi distributor perangkat lunak untuk mempersiapkan pembaruan sambil mengurangi periode di mana informasi teknis dapat beredar tanpa adanya patch.

Yayasan tersebut secara terpisah mengkritik penyedia keamanan Chainguard karena menerbitkan gambar perangkat lunak yang telah diperbaiki lebih dari enam jam sebelum rilis terkoordinasi, yang memungkinkan penyerang untuk memeriksa perubahan sebelum pengungkapan publik.

Perusahaan keamanan Cloudflare menerapkan perlindungan firewall sebelum kerentanan menjadi publik, bekerja sama dengan peneliti dari OpenAI, Wiz, dan organisasi lain yang terlibat dalam pengungkapan.

Cloudflare mengatakan bahwa kerentanan yang secara kolektif disebut PHP2Shell dapat mengekspos server yang terpengaruh ke eksekusi kode jarak jauh, gangguan layanan, dan pengungkapan data sensitif.

Pengguna Crypto Berisiko dari Situs Web yang Terkompromi?

Peringatan Zhao muncul saat pengguna cryptocurrency terus menghadapi kampanye phishing yang mengandalkan situs web palsu dan permintaan menipu untuk kredensial dompet.

Minggu lalu, crypto.news melaporkan bahwa situs web Ledger palsu muncul dalam hasil pencarian Google, dengan penyerang berusaha mengumpulkan frasa pemulihan dompet melalui halaman yang menyamar sebagai perangkat lunak yang sah.

Insiden lain melihat penyerang menggunakan email phishing Trezor dan infrastruktur pihak ketiga yang terkompromi untuk mendistribusikan pesan keamanan palsu kepada pelanggan cryptocurrency.

Namun, server PHP yang terkompromi dapat memungkinkan penyerang untuk mengubah konten situs web atau memperkenalkan permintaan login dan koneksi dompet yang menipu, tergantung pada akses yang diperoleh.

Hingga waktu pers, belum ada laporan yang dikonfirmasi tentang insiden keamanan yang mempengaruhi bursa cryptocurrency atau dompet pengguna yang secara langsung terkait dengan kerentanan PHP yang baru diungkapkan.

Pusat Keamanan Siber Kanada telah mendesak organisasi yang mengoperasikan aplikasi PHP yang terhubung ke internet untuk mengidentifikasi instalasi yang rentan dan segera menerapkan pembaruan keamanan yang tersedia.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.