„Miliony urządzeń są podatne”: CTO Ledger

• Wykonawca podkreślił, że krytyczne luki są już aktywnie wykorzystywane w ekosystemie.
• Tysiące serwerów z przestarzałymi wersjami nie mają rozwiązania technicznego i pozostaną narażone.

Dyrektor technologiczny (CTO) Ledger, Charles Guillemet, ostrzegł, że obecny stan bezpieczeństwa informatycznego jest <<naprawdę przerażający>>, z powodu połączenia krytycznych usterek w fundamentalnych infrastrukturach internetu.

Według wykonawcy, wykorzystanie tych luk jest już aktywne w ekosystemie cyfrowym, narażając miliony urządzeń na całym świecie, które nie otrzymają aktualizacji w krótkim okresie, przewidując, że sytuacja nie poprawi się wkrótce.

Alarm Guillemeta, podzielony za pośrednictwem jego mediów społecznościowych 21 października 2026 roku, koncentruje się na trzech równoczesnych frontach podatności.

Pierwszy z nich dotyczy dwóch krytycznych luk w języku programowania PHP, ocenionych na poziomie 9,2 w skali 10, jak donosi dzisiaj CriptoNoticias.

Guillemet podkreślił, że próby wykorzystania zaczęły się nawet przed opublikowaniem oficjalnej poprawki, przypominając, że nie ma łatki dla przestarzałych wersji tego oprogramowania.

Drugi wektor ryzyka dotyczy Node.js, gdzie w tym miesiącu zgłoszono cztery poważne luki, które umożliwiają dowolne wykonywanie kodu.

Na koniec CTO wskazał na odkrycie ośmiu certyfikatów pośrednich TLS, których klucze prywatne o długości od 3 do 8 bitów zostały skompromitowane. W obliczu tego odkrycia Guillemet stwierdził, że nie można już w pełni ufać standardowi TLS.

Wpływ tego scenariusza na ekosystem bitcoina i aktywów cyfrowych jest bezpośredni. Chociaż konsensus protokołu Bitcoin nie ma zależności od PHP i jest całkowicie odporny na te raporty o zdalnym wykonywaniu, otaczająca infrastruktura, która ułatwia operacje handlowe i przechowawcze, ma rozległą powierzchnię ataku.

Publiczne interfejsy giełd, wewnętrzne systemy portfeli, platformy finansów zdecentralizowanych (DeFi) oraz interfejsy programowania aplikacji (API) wykorzystywane do płatności są narażone na ryzyko.

Skala problemu dotyczącego PHP wynika z strukturalnej zależności od przestarzałego oprogramowania. Luki, zidentyfikowane jako CVE-2026-109618 i CVE-2026-109619, zostaną załatane przez The PHP Foundation dzisiaj, ale aktualizacja jest ograniczona do edycji od 8.2 do 8.5. Zgodnie z danymi zebranymi przez badacza Jonathana Crana, 59% serwerów narażonych w internecie działa na przestarzałych wersjach --- wcześniejszych niż wersja 8.1 --- które osiągnęły koniec swojego okresu użytkowania.

To pozostawia ponad 884 000 serwerów w pozycji permanentnej podatności. Rozkład geograficzny tego ryzyka przedstawia ogniska bardzo wysokiej ekspozycji; w Argentynie, na przykład, 88% zarejestrowanych urządzeń nie będzie miało przypisanej łatki.

Problem się pogarsza, ponieważ znaczna część tej infrastruktury jest hostowana w usługach współdzielonych dostawców masowych, co pozwala na to, że jeden skompromitowany adres wpływa na setki portali, historycznych forów i skryptów do handlu między użytkownikami (P2P), które jednocześnie korzystają z PHP.

W obliczu potwierdzenia Guillemeta o braku wykonalnych rozwiązań technicznych dla starych maszyn, ekosystem kryptowalut stoi w obliczu asymetrii strukturalnej. Wykorzystanie narzędzi automatycznych wspomaganych przez sztuczną inteligencję drastycznie obniżyło koszty operacyjne potrzebne do masowego wyszukiwania i wykorzystywania luk, przewyższając zdolności reakcyjne przestarzałych infrastruktur.

Aby złagodzić tę stałą ekspozycję, firmy i administratorzy, którzy nie mogą natychmiast przejść na wersje z oficjalnym wsparciem, będą musieli polegać na środkach awaryjnych. Odłączenie punktów końcowych narażonych, ograniczenie dostępu wyłącznie przez wirtualne sieci prywatne (VPN), wdrożenie ścisłych list dozwolonych adresów oraz stałe monitorowanie generacji anormalnych plików wydają się być głównymi mechanizmami przetrwania, które mogą utrzymać integralność funduszy i danych użytkowników.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.