Fundador da Binance, CZ, alerta utilizadores de criptomoedas sobre falhas críticas de segurança no PHP

O fundador da Binance, Changpeng Zhao, alertou os utilizadores de criptomoedas para terem cuidado extra ao visitar websites nos próximos dias, após a descoberta de duas vulnerabilidades críticas no PHP, uma linguagem de programação utilizada por milhões de websites em todo o mundo.

Resumo

• O fundador da Binance, Changpeng Zhao, instou os utilizadores de criptomoedas a serem cautelosos ao visitar websites após a descoberta de duas vulnerabilidades críticas no PHP.
• As vulnerabilidades podem permitir que atacantes executem código malicioso em servidores afetados, incluindo aqueles que executam plataformas populares como WordPress e Magento.
• Os desenvolvedores de PHP lançaram patches de segurança de emergência a 21 de outubro, após detalhes das vulnerabilidades terem vazado antes da divulgação planeada.
• Pesquisadores de segurança detectaram tentativas de exploração, embora nenhum incidente confirmado afetando bolsas de criptomoedas ou carteiras de utilizadores tenha sido diretamente ligado às falhas.

Num aviso a 22 de outubro, Zhao apontou duas falhas de segurança identificadas como CVE-2026-109618 e CVE-2026-109619, que poderiam permitir que atacantes executassem código malicioso em servidores web vulneráveis sem exigir autenticação.

Chamem-me paranóico, mas tenham cuidado extra ao visitar QUALQUER website nos próximos dias, pois alguns administradores de websites nem sempre estão atualizados com os patches de segurança.

Duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) reportadas para o PHP, a linguagem de programação web, afetando servidores... --- CZ 🔶 BNB (@cz_binance) 21 de outubro de 2026

"Chamem-me paranóico, mas tenham cuidado extra ao visitar QUALQUER website nos próximos dias," escreveu Zhao, explicando que alguns administradores de websites podem não ter instalado os patches de segurança mais recentes.

As vulnerabilidades afetam instalações de PHP que suportam plataformas populares de gestão de conteúdo e comércio eletrónico, incluindo WordPress, Magento, Drupal e Joomla. A exploração bem-sucedida poderia permitir que atacantes comprometem a infraestrutura do website, acessem informações sensíveis ou modifiquem o conteúdo apresentado aos visitantes.

Embora o aviso de Zhao tenha sido direcionado aos utilizadores de websites, as vulnerabilidades subjacentes afetam servidores e não significam que visitar qualquer website baseado em PHP comprometa automaticamente o dispositivo ou a carteira de criptomoedas de uma pessoa.

Vulnerabilidades do PHP permitem que atacantes executem código remotamente

De acordo com a divulgação de segurança da PHP Foundation, ambas as vulnerabilidades receberam pontuações de severidade de 9.2 em 10 e envolvem fraquezas nos sistemas de gestão de memória e tratamento de erros da linguagem de programação.

A primeira vulnerabilidade, CVE-2026-109618, envolve corrupção de memória quando o PHP atinge o limite de memória configurado durante certas operações. Sob condições específicas, o servidor pode processar incorretamente dados parcialmente inicializados, permitindo que um atacante execute código não autorizado.

Entretanto, a CVE-2026-109619 diz respeito a referências de memória interna que permanecem acessíveis após a memória associada ter sido liberada. Pesquisadores demonstraram que atacantes poderiam explorar a fraqueza para executar código contra aplicações que estão a correr em servidores afetados.

A fundação confirmou que a exploração era possível sob configurações padrão de servidores Apache usando mod_php, enquanto pesquisadores demonstraram caminhos adicionais de ataque envolvendo PHP-FPM.

Após a divulgação, os desenvolvedores lançaram versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 a 21 de outubro.

O aviso oficial do PHP instou os administradores a atualizarem imediatamente, alertando que proteções temporárias não poderiam eliminar completamente o risco.

Instalações mais antigas de PHP continuam a ser uma preocupação, pois versões fora dos ramos suportados do projeto podem depender de correções de segurança fornecidas separadamente por provedores de hospedagem ou fornecedores de software.

Patches de emergência foram lançados

Detalhes sobre as vulnerabilidades começaram a circular antes da equipe de segurança do PHP completar seu processo de divulgação planejada.

De acordo com a fundação, os dois identificadores de vulnerabilidade apareceram em fóruns online e redes sociais no dia 20 de outubro, acompanhados por uma pontuação de severidade incorreta de 10.0 e um cronograma de lançamento impreciso.

Embora o vazamento inicial não contivesse instruções técnicas de exploração, a empresa de segurança Calif publicou acidentalmente um vídeo de prova de conceito, demonstrando ataques contra vários alvos.

Cópias continuaram a circular após a remoção do vídeo original, levando os pesquisadores a desenvolver demonstrações adicionais de exploração.

A equipe do PHP, subsequentemente, antecipou seu lançamento de segurança programado de 22 de outubro para 21 de outubro, dando aos distribuidores de software tempo para preparar atualizações enquanto reduzia o período durante o qual informações técnicas poderiam circular sem patches disponíveis.

A fundação criticou separadamente o fornecedor de segurança Chainguard por publicar imagens de software corrigidas mais de seis horas antes do lançamento coordenado, permitindo potencialmente que atacantes examinassem as mudanças antes da divulgação pública.

A empresa de segurança Cloudflare implementou proteções de firewall antes que as vulnerabilidades se tornassem públicas, trabalhando ao lado de pesquisadores da OpenAI, Wiz e outras organizações envolvidas na divulgação.

A Cloudflare afirmou que as vulnerabilidades, coletivamente chamadas de PHP2Shell, poderiam expor servidores afetados a execução remota de código, interrupção de serviços e exposição de dados sensíveis.

Usuários de criptomoedas em risco devido a sites comprometidos?

O aviso de Zhao surge enquanto os usuários de criptomoedas continuam a enfrentar campanhas de phishing que dependem de sites fraudulentos e solicitações enganosas de credenciais de carteira.

Na semana passada, o crypto.news relatou que sites falsos da Ledger haviam aparecido nos resultados de busca do Google, com atacantes tentando coletar frases de recuperação de carteira através de páginas que se passavam por software legítimo.

Outro incidente viu atacantes usando e-mails de phishing da Trezor e infraestrutura de terceiros comprometida para distribuir mensagens de segurança fraudulentas a clientes de criptomoedas.

No entanto, um servidor PHP comprometido poderia potencialmente permitir que atacantes alterassem o conteúdo do site ou introduzissem solicitações fraudulentas de login e conexão de carteira, dependendo do acesso obtido.

Até o fechamento desta edição, não houve relatos confirmados de incidentes de segurança afetando diretamente as exchanges de criptomoedas ou as carteiras de usuários ligadas às novas vulnerabilidades PHP divulgadas.

O Centro Canadense de Cibersegurança instou organizações que operam aplicações PHP expostas à internet a identificar instalações vulneráveis e aplicar as atualizações de segurança disponíveis imediatamente.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.