Hoje · Seguranca
CZ alerta usuários de cripto sobre duas falhas críticas no PHP com correção liberada
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 têm severidade 9,2 e permitem execução de código em servidores expostos; a Fundação do PHP liberou correções em 21 de outubro e ainda não há incidente cripto confirmado.
O fundador da Binance, Changpeng Zhao, alertou usuários de cripto para terem cuidado redobrado ao visitar sites nos próximos dias, depois que duas vulnerabilidades críticas no PHP foram divulgadas, identificadas como CVE-2026-109618 e CVE-2026-109619. As duas receberam nota de severidade 9,2 em 10 e, segundo o comunicado da Fundação do PHP, envolvem falhas na gestão de memória e no tratamento de erros da linguagem. A exploração bem-sucedida permite a atacantes executar código não autorizado em servidores vulneráveis.
A CVE-2026-109618 envolve corrupção de memória quando o PHP atinge o limite de memória configurado em determinadas operações, situação em que o servidor pode processar dados parcialmente inicializados. A CVE-2026-109619 diz respeito a referências internas de memória que continuam acessíveis depois de liberada a memória associada. A fundação confirmou que a exploração era possível em configurações padrão de servidores Apache com mod_php, e pesquisadores demonstraram caminhos adicionais de ataque com PHP-FPM. As falhas afetam instalações que suportam WordPress, Magento, Drupal e Joomla.
As versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12 saíram em 21 de outubro, e o aviso oficial recomendou aos administradores a atualização imediata, alertando que proteções temporárias não eliminam por completo o risco. Os detalhes já tinham vazado em 20 de outubro com uma severidade incorreta de 10,0 e um calendário de lançamento errado; a empresa de segurança Calif publicou por engano um vídeo de prova de conceito, e o time do PHP antecipou o lançamento programado de 22 para 21 de outubro. A fundação também criticou o fornecedor Chainguard por publicar imagens corrigidas mais de seis horas antes do lançamento coordenado.
A Cloudflare implantou proteções de firewall antes de as vulnerabilidades se tornarem públicas, trabalhando com pesquisadores da OpenAI, da Wiz e de outras organizações, e disse que as falhas, batizadas em conjunto de PHP2Shell, podem expor servidores afetados a execução remota de código, interrupção de serviço e vazamento de dados sensíveis. O alerta de Zhao chegou em meio a campanhas de phishing que se apoiam em sites fraudulentos, entre elas páginas falsas da Ledger nos resultados do Google e emails de phishing da Trezor. Um servidor PHP comprometido pode permitir que atacantes alterem o conteúdo do site ou introduzam pedidos falsos de login e de conexão de carteiras. Na data desta publicação, nenhum incidente de segurança em exchanges ou carteiras de usuários havia sido confirmado como ligado às falhas, e o Centro Canadense de Segurança Cibernética havia recomendado que organizações com aplicações PHP expostas na internet identificassem as instalações vulneráveis e aplicassem as atualizações.
Instalações fora dos ramos com suporte do projeto continuam dependentes de correções fornecidas separadamente pelos provedores de hospedagem ou pelos fabricantes de software, o que mantém parte da base exposta. O risco descrito pela fundação é de execução de código nos servidores afetados, o que permite ler dados, alterar o conteúdo servido e capturar credenciais que passam por esses sites. Para quem opera ou usa serviços cripto na web, a medida prática é verificar se os sites acessados rodam versões corrigidas e trocar chaves e senhas expostas.