O fundador da Binance, Changpeng Zhao, alertou os usuários de criptomoedas para terem cautela extra ao visitarem sites nos próximos dias, após duas vulnerabilidades críticas serem descobertas no PHP, uma linguagem de programação usada por milhões de sites em todo o mundo.
Resumo
- O fundador da Binance, Changpeng Zhao, pediu aos usuários de criptomoedas que tenham cautela ao visitarem sites após a descoberta de duas vulnerabilidades críticas no PHP.
- As vulnerabilidades podem permitir que atacantes executem código malicioso em servidores afetados, incluindo aqueles que executam plataformas populares como WordPress e Magento.
- Os desenvolvedores do PHP lançaram patches de segurança de emergência em 21 de outubro, após os detalhes das vulnerabilidades vazarem antes da divulgação planejada.
- Pesquisadores de segurança detectaram tentativas de exploração, embora nenhum incidente confirmado afetando exchanges de criptomoedas ou carteiras de usuários tenha sido diretamente ligado às falhas.
Em um alerta de 22 de outubro, Zhao apontou para duas falhas de segurança identificadas como CVE-2026-109618 e CVE-2026-109619, que podem permitir que atacantes executem código malicioso em servidores web vulneráveis sem exigir autenticação.
“Chame-me de paranoico, mas tenha cuidado extra ao visitar QUALQUER site nos próximos dias”, escreveu Zhao, explicando que alguns administradores de sites podem não ter instalado os patches de segurança mais recentes.
As vulnerabilidades afetam instalações do PHP que suportam plataformas populares de gerenciamento de conteúdo e comércio eletrônico, incluindo WordPress, Magento, Drupal e Joomla. A exploração bem-sucedida pode permitir que atacantes comprometam a infraestrutura do site, acessem informações sensíveis ou modifiquem o conteúdo servido aos visitantes.
Embora o alerta de Zhao tenha sido direcionado aos usuários de sites, as vulnerabilidades subjacentes afetam servidores e não significam que visitar qualquer site baseado em PHP comprometa automaticamente o dispositivo ou a carteira de criptomoedas de uma pessoa.
Vulnerabilidades do PHP permitem que atacantes executem código remotamente
De acordo com a divulgação de segurança da PHP Foundation, ambas as vulnerabilidades receberam pontuações de gravidade de 9,2 de 10 e envolvem fraquezas nos sistemas de gerenciamento de memória e tratamento de erros da linguagem de programação.
A primeira vulnerabilidade, CVE-2026-109618, envolve corrupção de memória quando o PHP atinge seu limite de memória configurado durante certas operações. Sob condições específicas, o servidor pode processar incorretamente dados parcialmente inicializados, permitindo que um atacante execute código não autorizado.
Enquanto isso, CVE-2026-109619 diz respeito a referências internas de memória que permanecem acessíveis após a memória associada ter sido liberada. Pesquisadores demonstraram que atacantes poderiam explorar a fraqueza para executar código contra aplicações em execução em servidores afetados.
A fundação confirmou que a exploração era possível sob configurações padrão de servidores Apache usando mod_php, enquanto pesquisadores demonstraram caminhos de ataque adicionais envolvendo PHP-FPM.
Após a divulgação, os desenvolvedores lançaram versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 em 21 de outubro.
O aviso oficial do PHP instou os administradores a atualizarem imediatamente, alertando que proteções temporárias não poderiam eliminar completamente o risco.
Instalações mais antigas do PHP continuam sendo uma preocupação porque versões fora dos ramos suportados pelo projeto podem depender de correções de segurança fornecidas separadamente por provedores de hospedagem ou fornecedores de software.
Patches de emergência foram lançados
Detalhes sobre as vulnerabilidades começaram a circular antes que a equipe de segurança do PHP concluísse seu processo de divulgação planejado.
De acordo com a fundação, os dois identificadores de vulnerabilidade apareceram em fóruns online e redes sociais em 20 de outubro, acompanhados de uma pontuação de gravidade incorreta de 10,0 e de um cronograma de lançamento impreciso.
Embora o vazamento inicial não contivesse instruções técnicas de exploração, a empresa de segurança Calif publicou posteriormente, por engano, um vídeo de prova de conceito, demonstrando ataques contra vários alvos.
Cópias continuaram a circular após a remoção do vídeo original, levando os pesquisadores a desenvolver demonstrações adicionais de exploração.
A equipe do PHP subsequentemente antecipou seu lançamento de segurança programado de 22 de outubro para 21 de outubro, dando aos distribuidores de software tempo para preparar atualizações enquanto reduzia o período durante o qual informações técnicas poderiam circular sem que patches estivessem disponíveis.
A fundação criticou separadamente o fornecedor de segurança Chainguard por publicar imagens de software corrigidas mais de seis horas antes do lançamento coordenado, potencialmente permitindo que atacantes examinassem as mudanças antes da divulgação pública.
A empresa de segurança Cloudflare implantou proteções de firewall antes de as vulnerabilidades se tornarem públicas, trabalhando em conjunto com pesquisadores da OpenAI, Wiz e outras organizações envolvidas na divulgação.
A Cloudflare afirmou que as vulnerabilidades, coletivamente chamadas de PHP2Shell, poderiam expor servidores afetados à execução remota de código, interrupção de serviço e exposição de dados sensíveis.
Usuários de criptomoedas em risco devido a sites comprometidos?
O alerta de Zhao surge enquanto os usuários de criptomoedas continuam a enfrentar campanhas de phishing que dependem de sites fraudulentos e solicitações enganosas de credenciais de carteira.
Na semana passada, o crypto.news relatou que sites falsos da Ledger haviam aparecido nos resultados de busca do Google, com atacantes tentando coletar frases de recuperação de carteiras por meio de páginas que se passavam por software legítimo.
Outro incidente viu atacantes usando e-mails de phishing da Trezor e infraestrutura de terceiros comprometida para distribuir mensagens de segurança fraudulentas a clientes de criptomoedas.
No entanto, um servidor PHP comprometido poderia potencialmente permitir que atacantes alterassem o conteúdo de sites ou introduzissem solicitações fraudulentas de login e conexão de carteira, dependendo do acesso obtido.
Até o momento da publicação, não houve relatos confirmados de incidentes de segurança afetando exchanges de criptomoedas ou carteiras de usuários diretamente ligados às vulnerabilidades do PHP recém-divulgadas.
O Centro Canadense de Segurança Cibernética instou as organizações que operam aplicações PHP expostas à internet a identificar instalações vulneráveis e aplicar as atualizações de segurança disponíveis imediatamente.
