48 horas de PHP2Shell: RCE não autenticada com CVSS 9.2; alerta de CZ em 21/10 para usuários de criptoficarem atentos a sites de phishing
O incidente não representa uma ameaça direta aos ativos on-chain. O risco está concentrado em sites relacionados a cripto menos conhecidos: servidores PHP comprometidos podem ser transformados em páginas de phishing idênticas às originais, usadas para enganar usuários e obter acesso às carteiras e às frases de recuperação.
Os dados mostram alguns pontos:
1. Linha do tempo da vulnerabilidade e da correção. Em 20 de outubro (terça-feira), detalhes vazaram antecipadamente; em seguida, surgiram vídeos de demonstração e alegações incorretas de que a pontuação era 10.0. Em 21 de outubro, às 14:00 UTC, o PHP lançou de emergência as versões 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, corrigindo CVE-2026-109618 e CVE-2026-109619 (CVSS 4.0 9.2, execução remota de código não autenticada). Vale notar que não há versões corrigidas oficiais para PHP 8.1 e anteriores.
2. Alcance do impacto. A Unit42 contabilizou cerca de 22,6 milhões de instâncias PHP expostas (dados do Cortex Xpanse), e a Tenable estima que entre 1,3 e 1,9 milhão de hosts expostos à internet possam ser afetados. Em 21 de outubro, a Cloudflare já havia observado ataques iniciais e implantado regras emergenciais de WAF; o próprio site da Wordfence ficou fora do ar em 21 de outubro para mitigação; os três fóruns de hackers BreachForums, DarkForums e PwnForums saíram do ar voluntariamente para aplicar os patches; e os sites dos parlamentos da Finlândia e dos Países Baixos também ficaram fora do ar.
3. Reação do setor cripto. Em 21 de outubro, CZ publicou um alerta para que as pessoas “tenham muito cuidado ao acessar qualquer site nos próximos dias”, dizendo que explorações confirmadas em ambiente real podem transformar os sites visitados em meios para roubar credenciais. Nina Rong, responsável pelo crescimento da BNB Chain, confirmou que a stack tecnológica não usa PHP. A PancakeSwap publicou que sua infraestrutura não usa PHP e que os fundos dos usuários estão seguros; CZ compartilhou a publicação e comentou: “Most projects should at least post a confirmation like this”. Até 22 de outubro, não havia relatos confirmados de exchanges de cripto ou carteiras de usuários roubadas diretamente devido ao PHP2Shell.
O que se pode observar é que os patches foram lançados há mais de 24 horas, e aplicar patches na infraestrutura é responsabilidade deles; mas, nos próximos dias, conferir o domínio antes de abrir qualquer site relacionado a cripto e proteger a própria frase de recuperação é responsabilidade de cada um.
Opinião pessoal; não constitui aconselhamento de investimento.
#PHP2Shell #网络安全 $BNB $CAKE
O incidente não representa uma ameaça direta aos ativos on-chain. O risco está concentrado em sites relacionados a cripto menos conhecidos: servidores PHP comprometidos podem ser transformados em páginas de phishing idênticas às originais, usadas para enganar usuários e obter acesso às carteiras e às frases de recuperação.
Os dados mostram alguns pontos:
1. Linha do tempo da vulnerabilidade e da correção. Em 20 de outubro (terça-feira), detalhes vazaram antecipadamente; em seguida, surgiram vídeos de demonstração e alegações incorretas de que a pontuação era 10.0. Em 21 de outubro, às 14:00 UTC, o PHP lançou de emergência as versões 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35, corrigindo CVE-2026-109618 e CVE-2026-109619 (CVSS 4.0 9.2, execução remota de código não autenticada). Vale notar que não há versões corrigidas oficiais para PHP 8.1 e anteriores.
2. Alcance do impacto. A Unit42 contabilizou cerca de 22,6 milhões de instâncias PHP expostas (dados do Cortex Xpanse), e a Tenable estima que entre 1,3 e 1,9 milhão de hosts expostos à internet possam ser afetados. Em 21 de outubro, a Cloudflare já havia observado ataques iniciais e implantado regras emergenciais de WAF; o próprio site da Wordfence ficou fora do ar em 21 de outubro para mitigação; os três fóruns de hackers BreachForums, DarkForums e PwnForums saíram do ar voluntariamente para aplicar os patches; e os sites dos parlamentos da Finlândia e dos Países Baixos também ficaram fora do ar.
3. Reação do setor cripto. Em 21 de outubro, CZ publicou um alerta para que as pessoas “tenham muito cuidado ao acessar qualquer site nos próximos dias”, dizendo que explorações confirmadas em ambiente real podem transformar os sites visitados em meios para roubar credenciais. Nina Rong, responsável pelo crescimento da BNB Chain, confirmou que a stack tecnológica não usa PHP. A PancakeSwap publicou que sua infraestrutura não usa PHP e que os fundos dos usuários estão seguros; CZ compartilhou a publicação e comentou: “Most projects should at least post a confirmation like this”. Até 22 de outubro, não havia relatos confirmados de exchanges de cripto ou carteiras de usuários roubadas diretamente devido ao PHP2Shell.
O que se pode observar é que os patches foram lançados há mais de 24 horas, e aplicar patches na infraestrutura é responsabilidade deles; mas, nos próximos dias, conferir o domínio antes de abrir qualquer site relacionado a cripto e proteger a própria frase de recuperação é responsabilidade de cada um.
Opinião pessoal; não constitui aconselhamento de investimento.
#PHP2Shell #网络安全 $BNB $CAKE