«Миллионы устройств уязвимы»: технический директор Ledger

• Исполнительный директор отметил, что критические уязвимости уже активно эксплуатируются в экосистеме.
• Тысячи серверов со старыми версиями не имеют технического решения и останутся под угрозой.

Технический директор (CTO) Ledger, Шарль Гийемет, предупредил, что текущее состояние кибербезопасности «действительно пугающее» из-за сочетания критических уязвимостей в основных интернет-инфраструктурах.

По словам руководителя, эксплуатация этих уязвимостей уже активна в цифровой экосистеме, ставя под угрозу миллионы устройств по всему миру, которые не получат обновления в краткосрочной перспективе, и предсказывая, что ситуация не улучшится в ближайшее время.

Предупреждение Гийемета, опубликованное в его социальных сетях 21 октября 2026 года, сосредоточено на трех одновременных фронтах уязвимости.

Первый из них касается двух критических уязвимостей в языке программирования PHP, оцененных на уровне 9,2 из 10, как сообщается сегодня в CriptoNoticias.

Гийемет отметил, что попытки эксплуатации начались даже до публикации официального исправления, напомнив, что не существует патча для старых версий этого программного обеспечения.

Второй вектор риска касается Node.js, где в этом месяце было сообщено о четырех уязвимостях высокой степени серьезности, позволяющих произвольное выполнение кода.

Наконец, CTO указал на обнаружение восьми промежуточных сертификатов TLS, чьи закрытые ключи от 3 до 8 бит были скомпрометированы. В связи с этой находкой Гийемет заявил, что теперь нельзя полностью доверять стандарту TLS.

Влияние этой ситуации на экосистему биткойна и цифровые активы является прямым. Хотя консенсус протокола Bitcoin не зависит от PHP и полностью защищен от этих отчетов о удаленном выполнении, окружающая инфраструктура, которая облегчает коммерческие и депозитарные операции, имеет обширную поверхность атаки.

Публичные интерфейсы обменников, внутренние системы кошельков, платформы децентрализованных финансов (DeFi) и интерфейсы программирования приложений (API), используемые для платежей, подвержены риску.

Масштаб проблемы вокруг PHP заключается в структурной зависимости от унаследованного программного обеспечения. Уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, будут исправлены Фондом PHP сегодня, но обновление ограничено версиями с 8.2 по 8.5. Согласно данным, собранным исследователем Джонатаном Краном, 59% серверов, подверженных риску в интернете, работают на устаревших версиях --- до версии 8.1 --- которые достигли конца своего жизненного цикла.

Это оставляет более 884 000 серверов в состоянии постоянной уязвимости. Географическое распределение этого риска представляет собой очаги высокой экспозиции; в Аргентине, например, 88% зарегистрированных устройств не получит назначенный патч.

Проблема усугубляется тем, что большая часть этой инфраструктуры размещается на общих сервисах массовых провайдеров, позволяя одной скомпрометированной адресе затрагивать сотни порталов, исторических форумов и сценариев для торговли между равными (P2P), использующих PHP одновременно.

В свете подтверждения Гийемета о нехватке жизнеспособных технических решений для старых машин, экосистема криптовалют сталкивается с структурной асимметрией. Использование автоматизированных инструментов, поддерживаемых искусственным интеллектом, резко снизило операционные затраты, необходимые для массового поиска и эксплуатации уязвимостей, превышая возможности реагирования устаревшей инфраструктуры.

Чтобы смягчить это постоянное окно экспозиции, компании и администраторы, которые не могут немедленно перейти на версии с официальной поддержкой, будут зависеть от мер экстренного сдерживания. Отключение уязвимых конечных точек, ограничение доступа исключительно через виртуальные частные сети (VPN), внедрение строгих списков разрешенных адресов и постоянный мониторинг генерации аномальных файлов становятся основными жизнеспособными механизмами выживания для поддержания целостности средств и данных пользователей.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.