Fundador da Binance, CZ, alerta usuários de criptomoedas sobre falhas críticas de segurança no PHP

Em resumo
Changpeng Zhao, fundador da Binance, disse aos usuários de criptomoedas que tivessem “muito cuidado” ao visitar qualquer site após a descoberta de duas falhas críticas no PHP.
As falhas, avaliadas em 9,2 de 10, poderiam permitir que invasores executassem código nos servidores sem iniciar sessão.
O PHP lançou correções emergenciais em 21 de outubro, depois que detalhes vazaram online antes do previsto.
Governos da Europa, da Austrália e de outros lugares tiraram sites do ar por precaução.
A Coinbase e a BitGo disseram que não foram afetadas, e nenhuma perda de criptomoedas foi associada às falhas.
Changpeng Zhao, fundador da Binance, alertou os usuários de criptomoedas para terem ainda mais cuidado online após a descoberta de duas falhas críticas de segurança no PHP. O PHP é uma linguagem de programação que alimenta milhões de sites em todo o mundo.
“Chamem-me paranoico, mas tenham muito cuidado ao visitar QUALQUER site nos próximos dias”, escreveu Zhao em 22 de outubro. Ele disse que alguns administradores de sites podem não ter instalado as atualizações de segurança mais recentes.
Chamem-me paranoico, mas tenham muito cuidado ao visitar QUALQUER site nos próximos dias, pois alguns administradores de sites nem sempre estão em dia com as correções de segurança.
Duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) foram reportadas no PHP, a linguagem de programação para a web, afetando servidores…
— CZ  BNB (@cz_binance) 21 de outubro de 2026
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, podem permitir que invasores executem código malicioso em servidores web sem fazer login. Elas afetam sites criados em plataformas como WordPress, Magento, Drupal e Joomla.
As falhas afetam servidores, não os visitantes diretamente. Visitar um site baseado em PHP não coloca automaticamente em risco o dispositivo ou a carteira de criptomoedas de uma pessoa.
Como funcionam as falhas do PHP
A PHP Foundation atribuiu às duas falhas uma pontuação de gravidade de 9,2 em 10. Elas envolvem pontos fracos na forma como o PHP gerencia a memória e trata erros.
A primeira falha envolve corrupção de memória quando o PHP atinge seu limite de memória. A segunda envolve memória que continua acessível após ser liberada. A empresa de segurança Cloudflare chamou o par de falhas de “PHP2Shell”.
O PHP lançou as versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12 em 21 de outubro. A fundação pediu aos administradores que atualizem os sistemas imediatamente.
Detalhes vazaram na internet em 20 de outubro com uma pontuação de gravidade incorreta de 10,0. Em seguida, a empresa de segurança Calif publicou por engano um vídeo de prova de conceito, e a equipe do PHP antecipou o lançamento em um dia.
A fundação admitiu que viu os primeiros sinais do problema em 2024. Ela chamou a demora para corrigi-lo de “falha estrutural”, causada pelo processo de tomada de decisões e pela falta de recursos.
Mais tarde, Calif e OpenAI reportaram o mesmo problema em 11 de agosto, o que o tornou uma prioridade máxima.
Governos e empresas de criptomoedas respondem
Agências governamentais de todo o mundo tiraram sites do ar na quarta-feira, por precaução. A Holanda suspendeu seu serviço de identidade digital, enquanto Finlândia, França e Alemanha desativaram vários sites públicos.
O site de cibersegurança da Austrália também foi afetado. A primeira-ministra japonesa Sanae Takaichi pediu aos operadores de sites que aplicassem a correção o mais rápido possível.
A Wikimedia Foundation tirou do ar alguns serviços de suporte, fazendo com que partes da Wikipédia ficassem indisponíveis.
No setor de criptomoedas, a empresa de segurança SlowMist encontrou 793 domínios com impressões digitais diretas de PHP entre os 1.488 domínios ligados a criptomoedas que verificou. Ela recomendou que corretoras, plataformas DeFi e provedores de carteiras atualizassem seus sistemas.
A Intersect, que apoia o desenvolvimento da Cardano, tirou do ar sua Área de Membros enquanto avaliava sua exposição. A Coinbase disse que não encontrou nenhuma instância de PHP exposta, e a BitGo afirmou que sua plataforma não foi afetada.
O alerta de Zhao vem na esteira de recentes ataques de phishing contra usuários de criptomoedas, incluindo sites falsos da Ledger nos resultados de pesquisa do Google. Um servidor PHP invadido poderia permitir que invasores alterassem o conteúdo de um site ou adicionassem solicitações falsas de conexão de carteira.
A equipe de segurança do PHP disse que não havia identificado nenhuma exploração funcional no momento da divulgação. Até o fechamento desta edição, nenhum incidente de segurança em corretoras de criptomoedas ou carteiras de usuários havia sido relacionado às falhas.
A publicação Fundador da Binance, CZ, alerta usuários de criptomoedas sobre falhas críticas de segurança no PHP apareceu primeiro no Blockonomi.