Face ng mga crypto user at builder ang mas mataas na panganib sa web-security matapos ang paglabas ng emergency patches para sa mga bagong natuklasang vulnerabilities sa PHP. Binaril ni Immunefi CEO na si Mitchell Amador na sa mga susunod na ilang linggo, dapat ipagpalagay ng mga gumagamit ng internet na anumang site kung saan sila mag-login ay maaaring nangangailangan na kompromiso—lalo na ang mga ito na pinapatakbo ng mas maliit na organisasyon na maaaring magkaron ng higit pang panahon upang i-deploy ang mga update.
Isinampa ni Amador ang sitwasyon bilang pagpapatuloy sa kanyang tinatawag na “vulnerability apocalypse,” kung saan ang pagkakatuklas ng mga kahinaan ay lalong mabilis at murang gawin, ngunit ang tunay na gawain ng pagpapabuti nito ay patuloy na mabagal at mahal para sa maraming operator. Sumunod sa kanyang mga komento ang pagkilala mula sa PHP Foundation na ang isang kritikal na pagpapabuti sa seguridad ay naantala dahil sa kakulangan sa mga yunit.
Mga pangunahing natutunan
- Ipinagbawal ni Immunefi CEO na si Mitchell Amador ang mga user na gamitin ang mga web session bilang ligtas hanggang sa ma-deploy nang malawak ang mga patch.
- Dapat maging lalong masalimuot ang mga gumagamit na nagkonekta ng kanilang cryptocurrency wallet sa mga website at dapat iwasan ang paggamit muli ng mga password.
- Dapat i-revoke ng mga investor at gumagamit ang token approvals na hindi nila kilala o hindi nila inaprubahan.
- Ayon kay Cloudflare CEO na si Matthew Prince, tumabas nang mabilis ang mga pagsubok sa pagpapalabas pagkatapos ng pampublikong pagpapahayag ng mga isyu sa PHP.
- Dahil kailangang i-upgrade nang magkahiwalay ang mga website, ang timeline ng patch ay malamang na hindi pantay sa buong internet—kahit na ipinakalabas na ang mga emergency fix.
Bakit maaaring hindi karaniwan ang panganib ng window na ito sa PHP
Ang babala ni Amador ay nakatuon sa panahon sa pagitan ng paghahayag ng vulnerability at ang buong pagpapabuti. Kahit na ipinapalabas ang emergency patches, kailangan pa ring gawin ng mga indibidwal na website ang pag-upgrade sa kanilang sarili—isang gawain na maaaring i-delay ng mga mas maliit na operator dahil sa kakulangan ng staff, pagsubok, o kumplikadong deployment.
Sinabi niya sa Cointelegraph na dapat agad na i-adjust ng mga user ang kanilang pag-uugali: sa mga susunod na ilang linggo, tratuhin ang anumang site kung saan sila nag-log in bilang kung ito ay nangangahulugang nangangalap na ang kompromiso. Sa praktikal na mga termino, ibig sabihin nito ay iwasan ang mga risky na pag-authenticate na gawi (tulad ng paggamit muli ng password) at maging mas maingat kapag nag-iinteract sa mga aplikasyon na konektado sa wallet.
Inirerekomenda rin ni Amador ang pagpapabawi ng mga token approval na hindi kilala ng mga user. Sa ecosystem ng crypto, ang mga approval ay maaaring magbigay ng pahintulot sa smart contract sa ngalan ng user—kaya maaaring subukan ng isang kompromisong site na magpadala ng masasamang approval kung ang mga user ay makikipag-ugnayan nang walang sapat na pagmamasid.
Ang pagkakatagal ng tugon ng PHP Foundation, at kung ano ang nagbago
Ang pinakabagong siklo ng mga pag-aalala ay dumating halos isang linggo pagkatapos ng pagkilala ng PHP Foundation na ikinabawas nito ang pagpapabuti ng isang kritikal na pagkakamali sa seguridad na unang natukoy noong 2024. Sa pahayag nito, ang PHP Foundation ay nagbigay-daan sa kakulangan ng mga yunit bilang dahilan kung bakit higit sa inaasahan ang tagal ng pagpapabuti.
Ipinakalabas ang mga emergency patch para sa dalawang mahalagang vulnerability sa parehong araw, ngunit—mahalaga—ang pagkakaroon ng patch ay hindi nagjamin ng mabilis na paggamit. Kailangan pa ring i-update ng mga website ang kanilang sariling PHP installations at software stacks. Ang pagkakaiba sa pagitan ng pagpapalabas ng patch at ang malawakang pag-deploy ay kung saan maraming tunay na pag-atake ang maaaring umunlad.
Cointelegraph ay nagsalaysay na dati tungkol sa mas malawak na “vulnerability apocalypse” na pananaw ni Amador sa isang interbyu na ipinahayag noong Hunyo, kung saan sinabi niya na ang pagtaas ng mga frontier AI model ay nagpalipat ng larangan ng cybersecurity patungo sa mga manlalait. Sa usapin na iyon, kinasasangkutan niya ang fenomenong ito sa pagbabalik ng mga DeFi hack, at sinugpo na nananatiling eksposed ang ecosystem kapag ang mga depensa ay hindi kayang sumunod sa kakayahan ng mga manlalait.
Mabilis ang paggalaw ng mga pagtatangkang i-exploit pagkatapos maipahayag
Ang bilis ay tila mahalagang bahagi ng kuwento. Ayon kay Cloudflare CEO na si Matthew Prince, nakita ng Cloudflare ang milyon-milyon na pagsubok ng pagsasamantala sa loob ng 24 oras pagkatapos ipahayag ang mga vulnerability sa PHP, kahit may libo-libong pagsubok nang bago pa ipahayag. Ipinakilala ni Prince ang mga obserbasyon sa isang post sa X.
Ang sukat ng potensyal na eksposur ay dinagdagan ng malawakang paggamit ng PHP. Ipinapahiwatig ng serbisyong paneliti W3Techs na ang PHP ay nagpapagana ng higit sa 69% ng mga website na gumagamit ng kilalang server-side programming language. Sa hiwalay na pagkakataon, sinabi ng Cloudflare na isang sa bawat limang website sa buong mundo ang nagr-reroute ng trapiko sa pamamagitan ng kanyang network, na nangangahulugan na malaking bahagi ng internet ang maaaring maapektuhan nang sabay-sabay kapag may mga vulnerability na nakikita sa internet.
Patunayan din ng mga siyentipiko sa seguridad at gabay ng batas ang kalubosan. Binaril ng Cyber Division ng FBI na maaaring payagan ng mga vulnerabilities na ito ang mga mapang-aping aktor na “magsagawa ng code sa malayo sa PHP core,” na maaaring magdulot ng pagkakasira sa sensitibong data at network—isang resulta na maaaring magpapalawak nang higit pa sa simpleng pagpapalit ng website.
Ano ang dapat gawin ng mga crypto user habang nagtatagpo ang patch
Hindi lamang ito isang pangkalahatang pagkakaalam sa web-security; ito ay tumutok direktang sa mga pag-uugali na nagdadala ng panganib para sa mga user ng crypto. Ang payo ni Amador ay nakatuon sa pagbawas ng epekto kung sakaling ma-compromise ang isang site habang naghihintay pa ang mga user sa pag-upgrade.
Sa labas ng pangkalahatang mabuting pagpapanatili ng kaligtasan, pinagbigyan niya ng diin ang tatlong aksyon:
- Iwasan ang mga website bilang posibleng hindi ligtas sa susunod na ilang linggo hanggang mayroon kang dahilan upang tiyakin ang kanilang katayuan sa pagpapabuti.
- Iwasan ang paggamit muli ng password upang mabawasan ang epekto kung makakuha ng credentials sa ibang lugar.
- I-revoke ang mga pagpapahintulot sa token na hindi kilala, lalo na ang mga ibinigay sa pamamagitan ng mga third-party site o wallet-adjacent na flow.
Para sa mga operator na nagpapatakbo ng mga website na gumagamit ng PHP, ang epekto ay malinaw: ang pagpapalabas ng patch ay tanging simula lamang. Ang protektibong halaga ay nakadepende sa maagang pag-upgrade, pagpapatotoo, at patuloy na pagmamasid—dahil madalas mabilis mag-aksyon ang mga attacker kapag naging actionable na ang mga vulnerabilities.
Dapat subaybayan ng mga mambabasa kung gaano kalakas ang pag-upgrade ng mga pangunahing web platform at mas maliit na mga site, at kung ipapakita ng mga susunod na ulat ang pagbaba sa mga pagsubok ng pagpapahamak. Ang susunod na yugto ay mas maaaring tukuyin hindi kung kailan ipinakalabas ang mga patch, kundi kung kailan ito talagang kinuha sa buong PHP-dependent na surface area ng internet.
Ito ay orihinal na napanood bilang Immunefi CEO ay Bumabala sa PHP Flaw na Nagpapakita ng Panganib ng Vulnerability ng AI sa Crypto Breaking News – ang inyong tiwalaan na pinagkukunan ng crypto news, Bitcoin news, at blockchain updates.