SlowMist, Bitcoin (BTC) Platformlarını 10 Üzerinden 9,2 Puanlık PHP Açıkları Konusunda Uyardı

SlowMist İki Kritik PHP Açığına Dikkat Çekti

Blokzincir güvenlik şirketi SlowMist, Bitcoin (BTC) ekosistemindeki neredeyse her saklama noktasını ilgilendiren bir uyarı yayımladı. Uyarının kapsamında merkezi borsalar, cüzdan sağlayıcıları ve çevrim içi sunucu altyapısı kullanan Bitcoin DeFi platformları bulunuyor. Şirket, dünyadaki web sitelerinin yaklaşık onda yedisinin arkasındaki sunucu tarafı dil olan PHP'de iki güvenlik açığı tespit ettiğini ve her ikisinin de şiddet ölçeğinin en üst sırasına yerleştiğini bildirdi. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kataloglanan açıklar, güvenlik ekiplerinin bir hatanın ne kadar tehlikeli olduğunu sıralamak için kullandığı standart çerçeve olan CVSS 4.0'a göre her biri 10 üzerinden 9,2 puan alıyor. Belirli koşullar altında bir saldırgan, kimlik doğrulaması yapmadan, yani bir sunucunun normalde sahip olduğu en temel kapıyı devre dışı bırakarak, savunmasız sunucu üzerinde zararlı kod çalıştırabiliyor. İlk açık, PHP'nin sunucunun belleği yetersiz kaldığında durumu nasıl yönettiğinden kaynaklanıyor; ikincisi ise sunucu istekleri arasında geçerliliğini yitirmiş olmasına rağmen hâlâ okunabilen bellek verisini ilgilendiriyor. Danışma notuna göre başarılı bir saldırı, saldırganın sunucu altyapısına müdahale etmesine ve hassas verilere ulaşmasına izin verebiliyor; şirket bu ihtimali, kullanıcı hesaplarını ve finansal işlemleri gece gündüz demeden yöneten platformlar için özellikle ciddi olarak değerlendiriyor. SlowMist, açıkların kamuya duyulmasının hemen ardından MistEye tehdit istihbarat sisteminin kripto sektöründeki PHP tabanlı altyapıda küresel bir tarama başlattığını, Bitcoin'i ve tüm büyük altcoinleri hizmet eden borsaları, cüzdan arka uçlarını ve ilgili servisleri kapsadığını söyledi. Maruziyet zincir dışı bileşenleri de etkiliyor: Bir ağda Bitcoin (BTC) tutup diğerinde varlık ihraç eden çapraz zincir köprüleri, tam olarak bu açıkların hedef aldığı kesintisiz çalışan sunucu yığınlarını kullanıyor. Danışma notu önemli bir sınır da çiziyor: Bitcoin ağı'nın kendisi PHP çalıştırmıyor, bu yüzden raporun Bitcoin fiyatı'na ya da protokolün mutabakat kurallarına dokunan hiçbir yönü yok; risk, kullanıcı coinlerini saklayan şirketlerde ve servislerde duruyor.

PHP Yamaları 21 Ekim'de Yayınlandı

PHP geliştiricileri her iki açık için de yamaları 21 Ekim'de yayımladı; yamalı sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak dört desteklenen dalın tamamına ulaştı. Dört sürümün her ikisi de aynı iki düzeltmeyi taşıyor, bu yüzden yöneticilerin açıkları kapatmak için sürüm göçü yapması gerekmiyor; yalnızca kendi dalları içinde yamalı sürüme geçmeleri yeterli ve desteklenen hiçbir PHP sürüm hattı düzeltmesiz kalmıyor. Dilin geliştiricileri yamalarla birlikte operasyonel bir uyarı da paylaştı: Erişim kısıtlamaları ve geçici önlemler tek başına yeterli değil, kapsamlı koruma için güncellemelerin kurulması zorunlu. SlowMist de bu görüşü yineledi ve Bitcoin altyapısı'ndaki şirketlere somut bir kontrol listesi verdi. Şirket işletmecilerden sunucularında hangi PHP sürümlerinin çalıştığını incelemelerini, açık internetten erişilebilen sistemlere öncelik vermelerini ve güvenlik güncellemelerini gecikmeden kurmalarını istedi. Sıralamanın önemi, sektördeki maruziyetin eşit dağılmamasından geliyor: Bir borsanın herkese açık API ağ geçidi, dahili bir raporlama aracından çok daha geniş bir saldırı yüzeyi sunuyor ve MistEye taraması tam da bu ayrımı, yani hangi kripto servislerinin PHP'yi internete açtığını, hangilerinin açmadığını haritalamak için hazırlandı. Şirketin yönlendirmesi internetten erişilebilen sistemleri ilk yama önceliği sayıyor, kalan her şey erişilebilirlik sırasına göre takip ediyor. Danışma notunun çerçevesine göre yamasız bir sunucunun sömürülmesi, kullanıcı bakiyelerinin ve işlem altyapısının tehlikeye girmesi anlamına gelebilir; işte bu yüzden yanıt penceresi haftalarla değil günlerle ölçülüyor. Bitcoin (BTC) saklayan platformlar için sürüm numaraları, uyum ekiplerine basit bir denetim çizgisi veriyor: Kendi dalında 8.2.35'ten eski bir sürüm çalıştıran her sunucu, bir sonraki mesai bitmeden ilgi bekliyor.

Risk Saklamada, Bitcoin Ağında Değil

Bizim açıklamadan okumamız şu: Bir yatırımcının coinlerine yönelik tehlike üçüncü taraf sunucular üzerinden ilerliyor, Bitcoin protokolü üzerinden değil, ve kendi kendine saklama yapan kullanıcılar patlama yarıçapının dışında kalıyor. Blockchain madencilik işletmecileri de doğrudan kapsam dışında, çünkü madencilik altyapısı PHP web yığınlarına bağlı değil. En çok açıkta kalan varlıklar saklamalı enstrümanlar, aralarında özellikle Wrapped Bitcoin tokenleri var; çünkü bunların teminatı, ihraççının sunucularının güvenliği bozulmadan ayakta kalmasına dayanıyor. Piyasalar açıklamayı şimdiye kadar yön gösteren bir gelişme değil, operasyonel bir konu olarak gördü; Bitcoin, bu ayın başındaki Ekim toparlanmasında haftalık zirvesine yakın 85 bin dolar civarında işlem gördü. Hikâyenin duygusal yönü etkileyip etkilemeyeceğini izleyen yatırımcılar bizim Bitcoin teknik analizimizi takip edebilir. Riskin gerçekten gerçekleşmesi için tek bir ön koşul gerekiyor: Bir kripto platformundaki yamasız ve internete açık bir PHP sunucusunun, işletmecisi 21 Ekim düzeltmelerini kurmadan önce bulunması ve sömürülmesi.