BitGo a déclaré le 21 octobre 2026 que sa plateforme n’était pas touchée par deux vulnérabilités critiques de PHP, identifiées par CVE-2026-109618 et CVE-2026-109619 et notées 9,2 sur l’échelle CVSS v4.0. Ces failles permettent l’exécution de code à distance sans authentification et la divulgation de données présentes en mémoire, et touchent les versions de PHP encore prises en charge depuis PHP 5.x. La PHP Foundation a publié des correctifs le même jour, tandis que les organisations concernées ont été invitées à les appliquer immédiatement ou à mettre leurs systèmes hors ligne. BitGo attribue son immunité à ses collaborations de longue date avec des sociétés de sécurité, à ses campagnes/tests d’intrusion proactifs et à son programme de primes sur HackerOne, qui verse jusqu’à 20 000 dollars pour certaines vulnérabilités. L’entreprise, qui se présente comme une banque numérique à charte fédérale et déclare n’avoir subi aucune violation de données, dispose également d’une couverture d’assurance de 250 millions de dollars.
Source: Lire l’article original
