Dua kelemahan serius yang dikenali sebagai “PHP2Shell” mencetuskan kebimbangan keselamatan dalam industri kripto. Pembangun PHP mengeluarkan tampalan kecemasan pada 21 Oktober selepas kelemahan itu menerima skor keterukan 9.2 daripada 10. Penyerang berpotensi mengakses pelayan terjejas tanpa kata laluan, mencuri maklumat sensitif dan seterusnya mengambil alih laman web.
Isu ini tidak terhad kepada sektor kripto. Cloudflare mengesahkan bahawa penyerang telah cuba mengeksploitasi kelemahan tersebut terhadap pelanggannya, manakala beberapa laman web kerajaan di Eropah pernah ditutup sementara sebagai langkah pencegahan. Bagi perkhidmatan kripto yang bergantung pada PHP untuk mengendalikan log masuk akaun, permintaan pembayaran atau pentadbiran sistem, kelajuan pemasangan tampalan akan menentukan tempoh pendedahan kepada risiko.
Mekanisme memori PHP menjadi laluan serangan
PHP ialah perisian sisi pelayan yang digunakan oleh banyak laman web untuk memproses permintaan di bahagian belakang. Apabila pengguna log masuk, menghantar pembayaran atau menggunakan fungsi laman, PHP biasanya terlibat dalam pemprosesan data berkenaan. Penyelidik mendapati penyerang boleh memanipulasi cara PHP mengendalikan memori komputer, lalu mengakses maklumat yang sepatutnya dilindungi.
Wiz Research menyatakan bahawa eksploitasi yang berjaya boleh membolehkan penyerang mendapatkan kata laluan, token pengesahan dan kunci API. Bukti digital ini bukan sahaja boleh dikaitkan dengan akaun laman web, malah berpotensi digunakan untuk mengakses perkhidmatan pihak ketiga yang bersambung. Bagi laman yang mengurus aset digital atau memproses pembayaran kripto, kebocoran kelayakan boleh meluaskan kesan insiden ke sistem lain.
Gerbang pembayaran dan bursa kecil perlu menyemak sistem
Tiga kategori perkhidmatan kini dilihat berpotensi mempunyai tahap pendedahan yang lebih tinggi. Kategori pertama ialah gerbang pembayaran kripto. Pedagang yang menggunakan integrasi pembayaran berasaskan PHP, khususnya yang disambungkan kepada WooCommerce, mungkin berdepan risiko sekiranya pelayan mereka belum dikemas kini. Binance Pay, Crypto.com Pay, BitPay, CoinGate dan CoinPayments semuanya mempunyai rekod awam yang menunjukkan penyediaan integrasi WooCommerce. Namun, kewujudan integrasi itu tidak bermakna infrastruktur syarikat berkenaan telah terdedah kepada kelemahan tersebut.
Kategori kedua ialah platform dagangan mata wang kripto berskala kecil. Jika portal akaun atau sistem pembayaran platform berjalan pada persekitaran PHP yang terjejas, pencerobohan pelayan boleh mendedahkan maklumat pelanggan dan kelayakan sensitif. Berbanding platform besar yang lazimnya mempunyai pengasingan sistem dan proses tampalan yang lebih menyeluruh, penyedia kecil perlu mengesahkan dengan segera sama ada laman web, sistem pentadbiran dan pemalam pihak ketiga mereka masih menggunakan versi terdedah.
Kategori ketiga ialah laman DeFi dan dompet digital. Jika antara muka laman diubah suai, penyerang mungkin mengarahkan pengguna ke alamat dompet palsu atau memujuk mereka meluluskan transaksi berniat jahat. Bagaimanapun, setakat ini tiada bukti yang telah disahkan bahawa penyedia pembayaran atau platform dagangan utama tersebut telah diceroboh akibat PHP2Shell.
Rangkaian blok dan kunci luar talian tidak terjejas secara langsung
Risiko pada lapisan laman web perlu dibezakan daripada keselamatan aset pada lapisan asas rantaian blok. PHP2Shell menyasarkan pelayan laman web yang menjalankan PHP dan tidak secara langsung menjejaskan rangkaian rantaian blok, kontrak pintar atau kunci peribadi yang disimpan dengan selamat dalam dompet perkakasan luar talian.
Begitu juga, kewujudan integrasi PHP atau WooCommerce pada sesuatu produk pembayaran kripto tidak membuktikan bahawa sistem dagangan teras syarikat itu telah diserang. Risiko sebenar bergantung pada sama ada pelayan tertentu menjalankan versi yang terjejas, sama ada tampalan telah dipasang dan sejauh mana sistem akaun, antara muka pembayaran serta fungsi pentadbiran diasingkan antara satu sama lain.
Platform dagangan besar yang telah memasang kemas kini dengan segera atau mengasingkan infrastruktur kritikal daripada perkhidmatan laman web yang terdedah mungkin mempunyai tahap pendedahan yang lebih rendah. Kraken pernah menyatakan bahawa bahagian belakang terasnya telah berhijrah daripada PHP kepada Rust pada 2025. Oleh itu, kaitan langsung antara teknologi teras Kraken dan kelemahan ini perlu dinilai berdasarkan persekitaran penggunaan sebenar, bukan semata-mata label teknologi pada laman web.
Pengguna tidak boleh membaiki pelayan bursa sendiri
Pemasangan pembaikan keselamatan PHP perlu dilakukan oleh pengendali laman web, penyedia perkhidmatan pembayaran atau penyedia infrastruktur pengehosan. Pengguna biasa tidak boleh memasang tampalan terus pada pelayan bursa. Mereka boleh menyemak sama ada platform telah mengeluarkan makluman keselamatan, memberi perhatian kepada notis log masuk luar biasa, pemberitahuan penetapan semula kata laluan dan amaran perubahan alamat dompet, serta mengelakkan daripada memasukkan kata laluan bursa atau kunci API pada laman yang mencurigakan atau meluluskan transaksi yang tidak dikenali.
Setakat ini, fakta yang telah disahkan ialah pembangun PHP mengeluarkan pembaikan kecemasan bagi dua kelemahan tersebut, Cloudflare mengesan cubaan eksploitasi terhadap pelanggannya dan beberapa laman web kerajaan di Eropah mengambil langkah penutupan sementara. Sama ada bursa kripto, gerbang pembayaran atau laman dompet tertentu terjejas masih bergantung pada versi pelayan, status tampalan dan langkah pengasingan rangkaian masing-masing. Penggunaan integrasi PHP semata-mata tidak mencukupi untuk menentukan bahawa sesuatu perkhidmatan telah terjejas.