Hai lỗ hổng PHP có thể cho phép thực thi mã từ xa
Công ty bảo mật blockchain SlowMist vừa phát cảnh báo nghiêm trọng về hai lỗ hổng trong PHP, ngôn ngữ lập trình được sử dụng rộng rãi trong hạ tầng website và ứng dụng.
Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619. Trong một số điều kiện nhất định, kẻ tấn công có thể thực thi mã từ xa trên máy chủ dễ bị tổn thương mà không cần xác thực.
Đội ngũ PHP đã phát hành bản cập nhật bảo mật ngày 21/10. Tuy nhiên, việc thông tin về lỗ hổng bị rò rỉ sớm khiến thời gian phản ứng của quản trị viên hệ thống bị rút ngắn.
Lỗ hổng này không trực tiếp ảnh hưởng đến smart contract hoặc ví lạnh, nhưng có thể gây rủi ro cho giao diện dApp, website sàn và các dịch vụ web sử dụng PHP.
Binance, BNB Chain và nhiều nền tảng nói không bị ảnh hưởng
BNB Chain cho biết hệ thống của mình không sử dụng PHP trong công nghệ nền tảng nên không bị ảnh hưởng bởi hai lỗ hổng trên.
Binance cũng tuyên bố đã chủ động triển khai biện pháp bảo vệ và hoàn tất các chỉnh sửa cần thiết trước khi bản vá chính thức được phát hành.
“Binance cam kết bảo vệ người dùng và nền tảng của chúng tôi. Sau khi lỗ hổng PHP được công bố, đội ngũ bảo mật đã chủ động triển khai các biện pháp và hoàn tất các bản sửa lỗi cần thiết trước khi bản vá chính thức được phát hành.”
PancakeSwap và Trust Wallet cho biết hạ tầng của họ không sử dụng PHP. Kraken cũng nói hệ thống cốt lõi hiện được xây dựng trên Rust và không bị ảnh hưởng.
🚨 SlowMist TI Alert: Two Critical PHP Remote Code Execution (RCE) Vulnerabilities Disclosed 🚨
🔴 Severity: Critical
📌 CVEs: CVE-2026-109618, CVE-2026-109619
⚠️ CVSS v4.0: 9.2 for both vulnerabilities
🛠️ Patch Status: Official patches pendingOn October 20, 2026, PHP… https://t.co/JF0fe7SJmq
— SlowMist (@SlowMist_Team) October 21, 2026
CZ cảnh báo người dùng cẩn thận với website crypto
Nhà sáng lập Binance Changpeng Zhao (CZ) cũng lên tiếng cảnh báo người dùng nên đặc biệt cẩn trọng khi truy cập các website crypto trong vài ngày tới.
Theo CZ, rủi ro nằm ở việc không phải quản trị viên website nào cũng cập nhật bản vá kịp thời.
Ông cũng kêu gọi các dự án crypto công khai rõ ràng việc hạ tầng của họ có sử dụng PHP hay không.
Với người dùng, rủi ro lớn nhất hiện tại không nằm ở blockchain mà ở các lớp giao diện và máy chủ web trung gian. Vì vậy, việc hạn chế truy cập đường link đáng ngờ và chờ các nền tảng xác nhận tình trạng bảo mật là điều cần được ưu tiên.
