SlowMist, Bitcoin (BTC) Platformlarını 10 Üzerinden 9,2 Puanlık PHP Açıkları Konusunda Uyardı

Güncelleme 23:56 UTC: Açık anahtar görünürlüğüne dayalı bir analiz, ihraç edilen arzın yüzde 30,2'sine denk gelen 6,04 milyon BTC'nin, açık anahtarları zincir üstünde çoktan görünen çıktılarda durduğunu ortaya koyuyor. Bu coin'ler, ileride Shor algoritmasını çalıştırabilecek bir kuantum saldırganı için teorik olarak açık durumda.

SlowMist iki kritik PHP zafiyetine dikkat çekti

Blokzincir güvenlik şirketi SlowMist, Bitcoin (BTC) ekosistemindeki tüm büyük saklama noktalarını ilgilendiren bir uyarı yayımladı. Uyarının kapsamı, çevrimiçi sunucu çalıştıran merkezi borsaları, cüzdan sağlayıcılarını ve Bitcoin DeFi platformlarını içeriyor. Şirket, dünyadaki web sitelerinin kabaca onda yedisinin arka planında yatan sunucu taraflı dil PHP'de iki zafiyet tespit etti ve ikisini de şiddet ölçeğinin en üstüne yerleştirdi. CVE-2026-109618 ve CVE-2026-109619 katalog numaralı açıklar, güvenlik ekiplerinin bir hatının ne kadar tehlikeli olduğunu sıralamak için kullandığı standart olan CVSS 4.0 çerçevesinde her biri 10 üzerinden 9,2 puan alıyor. Belli koşullar altında bir saldırgan, hiçbir kimlik doğrulama adımından geçmeden savunmasız bir sunucuda zararlı kod çalıştırabiliyor; bu da sunucuların normalde sahip olduğu en temel kapıyı ortadan kaldırıyor. İlk zafiyet, sunucunun belleği tükenmesi durumlarında PHP'nin izlediği yönetim mantığından kaynaklanıyor. İkincisi ise sunucu istekleri arasında geçerliliğini yitirmiş olmasına rağmen hâlâ okunabilen bellek verisiyle ilgili. Danışma notuna göre başarılı bir saldırı, saldırganın sunucu altyapısına müdahale etmesine ve hassas verilere ulaşmasına izin verebilir; şirket bu ihtimali, kullanıcı hesaplarını ve finansal işlemleri seven yirmi dört yöneten platformlar için özellikle ciddi görüyor. SlowMist, MistEye tehdit istihbarat sisteminin açıklar duyurulur duyurulmaz kripto sektöründeki PHP tabanlı altyapının küresel taramasına başladığını, Bitcoin'e hizmet veren borsaları ve tüm büyük altcoin'leri, cüzdan arka uçlarını ve ilgili servisleri taradığını söyledi. Maruziyet zincir dışı bileşenlere de uzanıyor: Bir ağda Bitcoin (BTC) tutup başka bir ağda varlık basan zincirler arası köprüler, tam da bu açıkların hedeflediği kesintisiz çalışan sunucu kümelerini kullanıyor. Danışma notu önemli bir sınır da çiziyor: Bitcoin ağı'nın kendisi PHP çalıştırmıyor, dolayısıyla raporda Bitcoin fiyat yönü ya da protokolün mutabakat kurallarıyla ilgili hiçbir şey yok. Risk, kullanıcı coin'lerini saklayan şirketlerde ve servislerde duruyor.

Açıklamaya dair yeni raporlamada artık "PHP2Shell" etiketi kullanılıyor ve saldırı girişimlerinin başladığına dair kanıtlar birikiyor: Cloudflare, saldırganların bu açıkları müşterilerine karşı denediği konusunda uyardı; Avrupa'daki devlet siteleri de ihtiyati tedbir olarak geçici olarak çevrimdışı alındı. Wiz Research, başarılı sızmalarda parolaların, kimlik doğrulama belirteçlerinin ve API anahtarlarının açığa çıkabileceğini söyledi. Risk değerlendirmesi kripto tarafında üç kategoriyi öne çıkarıyor: WooCommerce entegrasyonlu PHP tabanlı ödeme altyapıları (Binance Pay, Crypto.com Pay, BitPay, CoinGate ve CoinPayments ismen sayılıyor), PHP'li hesap ya da ödeme sistemleri işleten küçük borsalar ve önyüzleri değiştirilerek sahte adres göstermeye ya da zararlı işlem onayları baskılamaya açık hale gelebilen DeFi ve cüzdan siteleri. İsim verilen sağlayıcıların ya da büyük borsaların ele geçirildiğine dair doğrulanmış bir olay yok. Kraken, 2025'te çekirdek arka uç altyapısını PHP'den Rust'a taşımasını tamamladığı için daha düşük risk altında.

Aynı gün yayımlanan ayrı bir zincir üstü araştırması, Bitcoin (BTC) sahipleri için saklamayla ilgili başka bir veri noktası ekledi; konusu PHP açıkları değil, kuantum maruziyeti. Analize göre açık anahtar görünürlüğü üzerinden bakıldığında, ihraç edilen arzın yüzde 30,2'si olan 6,04 milyon BTC, açık anahtarları zincir üstünde zaten görünür olan çıktılarda bekliyor ve Shor algoritmasını çalıştırabilecek gelecekteki bir kuantum saldırganı için teorik olarak açık durumda. Operasyonel maruziyet 4,12 milyon coin'e ulaşıyor; bu, senaryo tipine göre yapısal olarak açık sınıflandırılan 1,92 milyonun 2,1 katı. Borsa saklaması en büyük tekil bileşen: 1,63 milyon coin, yani operasyonel maruziyetin yüzde 40'ı. Kurum düzeyindeki rakamlar geniş bir aralığa dağılıyor: Binance'in halka açık etiketli varlıklarında maruziyet yüzde 85, Bitfinex'te yüzde 100; buna karşılık Coinbase'de yüzde 5, devlet hazinelerinde 0.

PHP yamaları 21 Ekim'de geldi

PHP geliştiricileri her iki zafiyet için de düzeltmeleri 21 Ekim'de yayımladı; desteklenen dört dal boyunca yamalı sürümler 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 olarak çıktı. Dört sürümün tamamı aynı iki düzeltmeyi taşıdığı için yöneticilerin açıkları kapatmak için sürüm geçişi yapması gerekmiyor, yalnızca kendi dalı içinde yamalı sürüme yükselmesi yeterli ve desteklenen hiçbir PHP sürüm hattı düzeltmesiz kalmıyor. Dilin geliştiricileri yamalarla birlikte kendi operasyonel uyarılarını da paylaştı: Erişim kısıtlamaları ve geçici önlemler tek başına yeterli değil, kapsamlı koruma için güncellemelerin kurulması zorunlu. SlowMist de bu görüşe katıldı ve Bitcoin altyapısı boyunca şirketlere somut bir kontrol listesi verdi. Şirket operatörleri sunucularında hangi PHP sürümlerinin çalıştığını kontrol etmeye, açık internetten erişilebilen sistemlere öncelik vermeye ve güvenlik güncellemelerini gecikmeden kurmaya çağırdı. Sıralama önemli, çünkü maruziyet sektör içinde eşit dağılmıyor. Bir borsanın dışarıya açık API geçidi, dahili bir raporlama aracından çok daha geniş bir saldırı yüzeyi sunuyor; MistEye taraması da tam olarak bu ayrımı haritalamak için kuruldu: hangi kripto servisleri PHP'yi internete açıyor, hangileri açmıyor. Şirketin rehberi internete erişilebilen sistemleri birinci yama önceliğine koyuyor, kalan her şey erişilebilirlik sırasına göre takip ediyor. Yamalanmamış bir sunucunun sömürülmesi, danışma notunun çerçevesine göre kullanıcı bakiyelerinin ve işlem süreçlerinin arkasındaki altyapıyı ele geçirebilir; bu yüzden tepki penceresi haftalarla değil günlerle ölçülüyor. Bitcoin saklayan platformlar için sürüm numaraları, uyum ekiplerine basit bir denetim çizgisi veriyor: Dalında 8.2.35'ten eski bir sürüm çalıştıran her sunucu, bir sonraki iş günü bitmeden ele alınmalı.

Risk saklamada, Bitcoin ağı'nda değil

Bizim okumamız şöyle: Bir yatırımcının coin'lerine yönelik tehlike üçüncü taraf sunuculardan geçiyor, Bitcoin protokolünden değil; kendi cüzdanında saklama yapan kullanıcılar etki alanının dışında kalıyor. Bitcoin madenciliği operatörleri de doğrudan kapsamın dışında, çünkü madencilik altyapısı PHP web yığınlarına dayanmıyor. En açıkta olan varlıklar saklamalı araçlar, başta Wrapped Bitcoin token'ları; çünkü karşılıkları, ihraççı sunucularının ele geçirilmemiş kalmasına bağlı. Piyasalar açıklamayı şimdiye kadar yön değiştirici bir gelişme değil, operasyonel bir konu olarak görüyor; Bitcoin bu ayın başında Ekim toparlanması kapsamında 85 bin dolar civarında haftalık zirve yapmıştı. Hikâyenin duygusal tabloyu zayıflayıp zayıflatmayacağını izleyen trader'lar Bitcoin teknik analizi sayfamızı takip edebilir. Riskin somutlaşması için tek bir ön koşul gerekiyor: Bir kripto platformundaki yamalanmamış, internete açık bir PHP sunucusunun, operatörü 21 Ekim düzeltmelerini kurmadan önce bulunup sömürülmesi.