PHP2Shell – это две уязвимости в движке PHP, серьезность которых оценивается в 9,2 из 10, по мнению команды разработчиков PHP.

По данным W3Techs, PHP используется на около 70% сайтов, для которых известен язык серверной части.

Добро пожаловать в "Базовый уровень", редакционную колонку CriptoNoticias, посвященную изучению технологических основ, на которых построены Bitcoin и криптовалюты. Каждым вторником мы предлагаем обзор технологий, протоколов и дискуссий, определяющих их развитие. Подпишитесь здесь.

21 октября 2026 года компания PHP выпустила экстренные исправления для PHP2Shell, двух уязвимостей, которые позволяют выполнять код на сервере без авторизации. Этот язык используется на значительной части веб-пространства, включая многие сервисы, которые мы используем для покупки, получения и хранения криптовалют.

Для тех, кто владеет Bitcoin, немедленный вопрос заключается в том, находятся ли их средства в опасности. Сеть в безопасности: программное обеспечение, которое проверяет блоки, не написано на PHP. Однако между пользователем и его криптовалютой почти всегда есть веб-слой, который использует PHP:

🏦 Порталы некоторых бирж (платформ обмена) и кастодиальных сервисов; 🛒 Интернет-магазины, принимающие Bitcoin через WooCommerce; 🤖 Программы автоматической торговли (боты), где пользователи оставляют свои API-ключи.

И вот моя точка зрения: PHP2Shell – это не проблема Bitcoin, это напоминание о том, что ваш риск возрастает с каждым чужим сервером, который вы ставите между собой и своими средствами. Основной риск заключается не в массовом краже, а в утечке учетных данных, происходящей незаметно.

📚 Что вам нужно знать, прежде чем двигаться дальше.

🐘 PHP: язык, который работает на сервере и формирует страницу, прежде чем она дойдет до вашего браузера. Это кухня ресторана: вы ее не видите, но именно там все готовится.

💥 Удаленное выполнение кода: когда злоумышленник заставляет чужой сервер выполнять его команды без имени пользователя и пароля. Как диктовать рецепты повару из улицы.

🧠 Чтение памяти: получение доступа к данным, которые сервер использует, таким как пароли или ключи, без получения контроля над ним. Это как читать заметки на стойке, не заходя на кухню.

🔑 API-ключ: учетная запись, которая позволяет программе управлять вашей учетной записью на бирже без вашего пароля. Это запасной ключ, который вы передаете третьей стороне.

🧾 xpub: расширенный публичный ключ, который генерирует адреса для получения платежей, не раскрывая приватный ключ. Это книжка с квитанциями, а не сейф.

🔍 Тихая угроза – это не взлом.

Начнем с того, что не подвергается риску. Bitcoin Core написан на C++ и не использует PHP, поэтому узлы и протокол не подвержены этой уязвимости.

Меня беспокоит другое. Компания Wiz Research продемонстрировала, что одна из уязвимостей позволяет читать фрагменты памяти сервера без получения контроля над ним. По словам этой компании, эта память может содержать пароли, токены сессии, API-ключи и сертификаты других пользователей.

И вот здесь кроется момент, который почти никто не замечает. Чтение данных из памяти не искажает сайт и не оставляет следов взлома. Если ваш API-ключ прошел через уязвимый сервер, он мог быть скомпрометирован незаметно.

Поэтому фраза "подтвержденных взломов не было" не означает "ничего не произошло". По состоянию на 22 октября компании Sansec и Sophos не обнаружили успешных атак, и Sansec посчитала менее вероятным массовое использование уязвимости, поскольку публичные эксплойты не работают против стандартной конфигурации.

Я воспринимаю это как хорошую новость.

Но отсутствие видимых жертв не доказывает, что учетные данные в безопасности.

🛒 Продавец несет ответственность за свой сервер.

Однако, существует серьезный контраргумент, и я ему верю. Крупные компании устраняют уязвимости в течение нескольких часов. Компания Automattic сообщила 21 октября, что сайты, размещенные на WordPress.com, уже защищены, в то время как продавец, использующий собственный WooCommerce, зависит от своевременного обновления своего хостинг-провайдера.

В этом свете, PHP2Shell кажется аргументом в пользу делегирования. Проблема в том, что делегирование не устраняет риск, а лишь концентрирует его: взлом биржи одновременно подвергает риску данные KYC (верификации личности) и сессии тысяч пользователей.

Этот инцидент показывает продавцу, что нельзя хранить на своем сервере. Контролируя магазин, злоумышленник может изменить адрес или xpub для приема платежей, и платежи будут перенаправлены на другой кошелек. Если сервер хранит только xpub и никогда приватный ключ, ущерб ограничивается будущими платежами, а не накопленными средствами.

Таким образом, степень подверженности риску распределяется по уровням:

Но есть еще кое-что. Уязвимость существовала в коде с PHP 5.4, выпущенной в 2012 году. По данным Wiz, один исследователь, использующий искусственный интеллект, выполнил за неделю то, что раньше команде экспертов занимало бы месяцы.

Стоит обратить внимание на то, кто это говорит. OpenAI и Wiz, принадлежащие Google, используют этот случай как демонстрацию своих моделей. OpenAI пообещала выделить 1 миллиард долларов на субсидированный доступ к своей программе для специалистов по безопасности, а Wiz подчеркивает вклад Gemini 4 Argon.

Тем не менее, основной тезис остается верным, даже если не верить им полностью. Если поиск и эксплуатация уязвимостей становится дешевле, каждый промежуточный сервер становится более привлекательной целью. Попытка, зафиксированная Amazon до установки патча, показывает, что временной промежуток между обнаружением и атакой уже сократился.

🔐 Меньше серверов, меньше поверхности атаки.

PHP2Shell не взломал ни одну криптовалютную сеть. Он показал, что самое слабое место находится в посредниках, и что они могут выходить из строя быстрее, чем их можно исправить.

Решение не в том, чтобы отказываться от всех сервисов, а в том, чтобы решать, какую информацию вы доверяете каждому из них. Чем меньше сторонних серверов хранят ваши ключи, API-ключи или данные о платежах, тем меньше вероятность, что вы пострадаете от следующей сбоя веб-сервиса.

💡 Полезные советы для снижения рисков:

🔁 Регулярно меняйте свои API-ключи: отменяйте доступ для ботов или трекеров и создавайте новые ключи без разрешения на вывод средств.

🌐 Ограничьте использование каждого ключа по IP-адресу: чтобы он работал только с адресов сервиса, который его использует.

📋 Активируйте белый список для вывода средств: чтобы взломанная сессия не могла отправлять средства на новый адрес.

🔐 Доверяйте экрану, а не веб-сайту: проверяйте адрес получателя на своем аппаратном кошельке, прежде чем подписывать транзакцию.

🛒 Если вы принимаете биткоины, уточняйте версию: ваш хостинг должен работать на PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, и ваш сервер должен хранить только xpub.

📧 Игнорируйте "срочные уведомления": ни один легитимный сервис не попросит вас предоставить вашу секретную фразу из-за этой уязвимости.

Отказ от ответственности: Мнения и взгляды, выраженные в этой статье, принадлежат ее автору и не обязательно отражают точку зрения CriptoNoticias. Мнение автора представлено исключительно в информационных целях и ни в коем случае не является инвестиционной рекомендацией или финансовым советом.