Что известно об уязвимостях
Официальный проект PHP выпустил 21 октября 2026 года версии с исправлениями, а записи CVE описывают две критические проблемы в ядре PHP. CVE-2026-109618 связана с некорректным состоянием при обработке нехватки памяти во время разбора запроса. CVE-2026-109619 касается состояния, которое после фатальной ошибки может некорректно пережить освобождение памяти.
В материалах PHP и поставщиков безопасности обе проблемы описываются как потенциально позволяющие удаленное выполнение кода без входа в систему. Конкретная эксплуатируемость зависит от способа запуска PHP и конфигурации сервера, поэтому не стоит переносить максимальную оценку риска на каждую установку без проверки окружения.
Почему это относится к криптосервисам
Биржи, кошельки и другие финансовые веб-сервисы часто используют несколько слоев: публичное API, личный кабинет, очередь задач, сервисы подписания и внутренние панели. Уязвимость в веб-слое сама по себе не доказывает доступ к активам или ключам, но может стать входной точкой для дальнейшего исследования инфраструктуры злоумышленником.
Нет оснований считать, что все криптоплатформы используют PHP или что конкретный сервис уже пострадал от этих CVE. Корректный вывод из публикации другой: если PHP входит в публичный контур финансового продукта, обновление и проверка разделения привилегий должны быть приоритетом.
Исправление важнее временных мер
Полным решением остается переход на поддерживаемую версию PHP с исправлениями и контролируемый перезапуск затронутых процессов. Перед установкой обновления команде стоит сверить ветку PHP, способ запуска, используемые расширения и план отката, а затем проверить работу критических пользовательских сценариев.
Вендорские рекомендации могут предлагать промежуточные настройки для снижения поверхности атаки, но они не заменяют исправление. Старые ветки, достигшие конца жизненного цикла, требуют отдельного решения: оценить доступность поддерживаемого обновления или обратиться к поставщику дистрибутива за подтвержденным бэкпортом.
Что могут проверить пользователи
Обычному пользователю не нужно пытаться определять технологический стек биржи или кошелька по внешним признакам. Гораздо полезнее включить двухфакторную аутентификацию, не повторять пароли, проверять официальные уведомления и не вводить данные на страницах из случайных ссылок.
Публикация технической уязвимости не означает, что аккаунт конкретного клиента скомпрометирован. Если сервис сообщит о технических работах или сбросе активных сессий, следует использовать только его официальный сайт или приложение, а не ссылки из писем и сообщений от неизвестных отправителей.
