Две критические уязвимости, получившие название PHP2Shell, привлекли внимание криптоиндустрии после того, как 21 октября разработчики PHP выпустили экстренные исправления. Их оценили в 9,2 балла из 10 по уровню серьезности. При определенных условиях атака позволяет получить доступ к уязвимому серверу без пароля, извлечь конфиденциальные данные и потенциально установить контроль над сайтом.
Риск не ограничивается криптосервисами. Cloudflare подтвердила попытки атаковать уязвимости на инфраструктуре своих клиентов, а несколько правительственных сайтов в Европе временно отключали в качестве меры предосторожности. Для криптокомпаний, использующих PHP при обработке входа в аккаунт, платежных запросов и административных операций, ключевым фактором становится скорость установки исправлений: она определяет, как долго системы остаются доступными для атаки.
Уязвимость связана с обработкой памяти в PHP
PHP — серверное программное обеспечение, которое используется на большом количестве сайтов для обработки запросов. Когда пользователь входит в аккаунт, отправляет платеж или взаимодействует с функциями сайта, PHP часто отвечает за обработку данных на сервере. Исследователи обнаружили, что злоумышленники могут манипулировать обработкой компьютерной памяти и получить доступ к информации, которая в обычных условиях должна оставаться защищенной.
По оценке Wiz Research, успешная эксплуатация способна раскрыть пароли, токены аутентификации и API-ключи. Такие учетные данные могут быть связаны с аккаунтами на сайте и одновременно открывать доступ к подключенным сторонним сервисам. Для площадок, которые управляют цифровыми активами или обрабатывают криптоплатежи, кража ключей может расширить последствия атаки за пределы первоначально скомпрометированного сервера.
Платежным шлюзам и небольшим биржам нужны проверки
Особое внимание следует уделить трем категориям сервисов. Первая — криптоплатежные шлюзы. Продавцы, использующие платежные интеграции на базе PHP, особенно подключенные к WooCommerce, могут столкнуться с риском, если их серверы не обновлены. В открытых реестрах указано, что Binance Pay, Crypto.com Pay, BitPay, CoinGate и CoinPayments предлагают интеграции с WooCommerce. Однако само наличие такой интеграции не подтверждает уязвимость инфраструктуры этих компаний.
Вторая категория — небольшие криптовалютные биржи. Если личный кабинет или платежная система биржи работает в уязвимой среде PHP, успешный взлом сервера может раскрыть данные клиентов и чувствительные учетные данные. В отличие от крупных платформ, которые обычно располагают более развитой изоляцией систем и процедурами установки обновлений, небольшим провайдерам необходимо отдельно проверить, используют ли их сайты, административные панели и сторонние плагины затронутые версии PHP.
Третья категория — сайты DeFi-проектов и криптовалютных кошельков. При изменении интерфейса сайта злоумышленники могут перенаправлять пользователей на поддельные адреса кошельков или убеждать их подтверждать вредоносные транзакции. На данный момент нет подтвержденных данных о том, что перечисленные платежные провайдеры или крупные биржи были взломаны именно через PHP2Shell.
Блокчейн-сети и офлайн-ключи напрямую не затронуты
Риск на уровне веб-сайта необходимо отделять от безопасности блокчейн-инфраструктуры и хранящихся активов. PHP2Shell непосредственно нацелена на серверы сайтов, работающие на PHP. Уязвимости не затрагивают напрямую блокчейн-сети, сами смарт-контракты или приватные ключи, надежно хранящиеся на офлайн-аппаратных кошельках.
Точно так же наличие PHP- или WooCommerce-интеграции в криптоплатежном продукте не доказывает, что основные системы проведения транзакций компании подверглись атаке. Фактический риск зависит от того, работает ли конкретный сервер на уязвимой версии PHP, установлено ли исправление и насколько изолированы системы аккаунтов, платежные интерфейсы и административные функции.
У крупных бирж уровень прямого воздействия может быть ниже, если они своевременно установили обновления или отделили критическую инфраструктуру от уязвимых веб-сервисов. Kraken заявила, что в 2025 году завершила миграцию основной серверной части с PHP на Rust. Поэтому связь ее базовой инфраструктуры с PHP2Shell необходимо оценивать с учетом конкретной конфигурации и способа развертывания, а не делать вывод только по технологической отметке сайта.
Пользователи не могут самостоятельно обновить серверы бирж
Исправления безопасности PHP должны устанавливать операторы сайтов, платежные провайдеры или поставщики хостинговой инфраструктуры. Обычные пользователи не могут напрямую обновить сервер биржи. Со своей стороны они могут отслеживать сообщения платформы об обновлениях безопасности, внимательнее относиться к необычным уведомлениям о входе, сбросе пароля и изменении адреса кошелька, не вводить пароли и API-ключи бирж на подозрительных страницах и не подтверждать неизвестные транзакции.
На данный момент подтверждено, что разработчики PHP выпустили экстренные исправления для двух уязвимостей, Cloudflare выявила попытки атак на инфраструктуру своих клиентов, а несколько правительственных сайтов в Европе временно закрывались. Подверженность конкретной биржи, платежного шлюза или сайта кошелька по-прежнему зависит от версии PHP на сервере, статуса установки исправления и мер сетевой изоляции. Одного факта использования PHP-интеграции недостаточно, чтобы определить наличие риска.