Fundador da Binance, CZ, alerta usuários de criptomoedas sobre falhas críticas de segurança no PHP

O fundador da Binance, Changpeng Zhao, alertou os usuários de criptomoedas para terem cuidado extra ao visitar sites nos próximos dias, após a descoberta de duas vulnerabilidades críticas no PHP, uma linguagem de programação usada por milhões de sites em todo o mundo.

Resumo

• O fundador da Binance, Changpeng Zhao, pediu aos usuários de criptomoedas que sejam cautelosos ao visitar sites após a descoberta de duas vulnerabilidades críticas no PHP.
• As vulnerabilidades podem permitir que atacantes executem código malicioso em servidores afetados, incluindo aqueles que executam plataformas populares como WordPress e Magento.
• Desenvolvedores de PHP lançaram patches de segurança de emergência em 21 de outubro, após detalhes das vulnerabilidades vazarem antes de sua divulgação planejada.
• Pesquisadores de segurança detectaram tentativas de exploração, embora nenhum incidente confirmado afetando bolsas de criptomoedas ou carteiras de usuários tenha sido diretamente ligado às falhas.

Em um alerta de 22 de outubro, Zhao apontou duas falhas de segurança identificadas como CVE-2026-109618 e CVE-2026-109619, que poderiam permitir que atacantes executassem código malicioso em servidores web vulneráveis sem exigir autenticação.

Chamem-me de paranoico, mas tenham cuidado extra ao visitar QUALQUER site nos próximos dias, pois alguns administradores de sites nem sempre estão atualizados com os patches de segurança.

Duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) relatadas para o PHP, a linguagem de programação web, afetando servidores... --- CZ 🔶 BNB (@cz_binance) 21 de outubro de 2026

"Chamem-me de paranoico, mas tenham cuidado extra ao visitar QUALQUER site nos próximos dias", escreveu Zhao, explicando que alguns administradores de sites podem não ter instalado os patches de segurança mais recentes.

As vulnerabilidades afetam instalações do PHP que suportam plataformas populares de gerenciamento de conteúdo e comércio eletrônico, incluindo WordPress, Magento, Drupal e Joomla. A exploração bem-sucedida poderia permitir que atacantes comprometem a infraestrutura do site, acessem informações sensíveis ou modifiquem o conteúdo exibido aos visitantes.

Embora o alerta de Zhao tenha sido direcionado aos usuários de sites, as vulnerabilidades subjacentes afetam servidores e não significam que visitar qualquer site baseado em PHP comprometa automaticamente o dispositivo ou a carteira de criptomoedas de uma pessoa.

Vulnerabilidades do PHP permitem que atacantes executem código remotamente

De acordo com a divulgação de segurança da PHP Foundation, ambas as vulnerabilidades receberam pontuações de severidade de 9,2 em 10 e envolvem fraquezas nos sistemas de gerenciamento de memória e tratamento de erros da linguagem de programação.

A primeira vulnerabilidade, CVE-2026-109618, envolve corrupção de memória quando o PHP atinge seu limite de memória configurado durante certas operações. Sob condições específicas, o servidor pode processar incorretamente dados parcialmente inicializados, permitindo que um atacante execute código não autorizado.

Enquanto isso, a CVE-2026-109619 diz respeito a referências de memória interna que permanecem acessíveis após a memória associada ter sido liberada. Pesquisadores demonstraram que atacantes poderiam explorar a fraqueza para executar código contra aplicativos que estão sendo executados em servidores afetados.

A fundação confirmou que a exploração era possível sob configurações padrão de servidores Apache usando mod_php, enquanto pesquisadores demonstraram caminhos de ataque adicionais envolvendo PHP-FPM.

Após a divulgação, os desenvolvedores lançaram versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 em 21 de outubro.

O aviso oficial do PHP instou os administradores a atualizarem imediatamente, alertando que proteções temporárias não poderiam eliminar completamente o risco.

Instalações mais antigas do PHP continuam sendo uma preocupação, pois versões fora dos ramos suportados do projeto podem depender de correções de segurança fornecidas separadamente por provedores de hospedagem ou fornecedores de software.

Patches de emergência foram lançados

Detalhes sobre as vulnerabilidades começaram a circular antes que a equipe de segurança do PHP completasse seu processo de divulgação planejado.

De acordo com a fundação, os dois identificadores de vulnerabilidade apareceram em fóruns online e redes sociais no dia 20 de outubro, acompanhados por uma pontuação de severidade incorreta de 10.0 e um cronograma de lançamento impreciso.

Embora o vazamento inicial não contivesse instruções técnicas de exploração, a empresa de segurança Calif publicou acidentalmente um vídeo de prova de conceito, demonstrando ataques contra vários alvos.

Cópias continuaram circulando após a remoção do vídeo original, levando os pesquisadores a desenvolver demonstrações adicionais de exploração.

A equipe do PHP, por sua vez, antecipou seu lançamento de segurança programado de 22 de outubro para 21 de outubro, dando aos distribuidores de software tempo para preparar atualizações, enquanto reduzia o período durante o qual informações técnicas poderiam circular sem que patches estivessem disponíveis.

A fundação criticou separadamente o fornecedor de segurança Chainguard por publicar imagens de software corrigido mais de seis horas antes do lançamento coordenado, permitindo potencialmente que atacantes examinassem as mudanças antes da divulgação pública.

A empresa de segurança Cloudflare implementou proteções de firewall antes que as vulnerabilidades se tornassem públicas, trabalhando ao lado de pesquisadores da OpenAI, Wiz e outras organizações envolvidas na divulgação.

A Cloudflare afirmou que as vulnerabilidades, coletivamente chamadas de PHP2Shell, poderiam expor servidores afetados a execução remota de código, interrupção de serviços e exposição de dados sensíveis.

Usuários de criptomoedas em risco devido a sites comprometidos?

O aviso de Zhao surge enquanto os usuários de criptomoedas continuam a enfrentar campanhas de phishing que dependem de sites fraudulentos e solicitações enganosas de credenciais de carteira.

Na semana passada, o crypto.news relatou que sites falsos da Ledger apareceram nos resultados de busca do Google, com atacantes tentando coletar frases de recuperação de carteiras através de páginas que se passavam por software legítimo.

Outro incidente viu atacantes usando e-mails de phishing da Trezor e infraestrutura de terceiros comprometida para distribuir mensagens de segurança fraudulentas a clientes de criptomoedas.

No entanto, um servidor PHP comprometido poderia potencialmente permitir que atacantes alterassem o conteúdo do site ou introduzissem solicitações fraudulentas de login e conexão de carteira, dependendo do acesso obtido.

Até o fechamento desta matéria, não houve relatos confirmados de incidentes de segurança afetando diretamente as exchanges de criptomoedas ou carteiras de usuários vinculadas às novas vulnerabilidades PHP divulgadas.

O Centro Canadense de Cibersegurança pediu às organizações que operam aplicações PHP voltadas para a internet que identifiquem instalações vulneráveis e apliquem as atualizações de segurança disponíveis imediatamente.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.