CZ alertou os utilizadores de criptomoedas para terem cuidado após a divulgação de duas vulnerabilidades no PHP, cada uma classificada com 9,2 em 10.
O PHP lançou correções em 21 de outubro, enquanto as agências de cibersegurança instaram as organizações a atualizar os sistemas vulneráveis, após relatos de exploração ativa.
O fundador da Binance, Changpeng Zhao, instou os utilizadores de criptomoedas a terem cuidado ao visitar sites, depois de terem sido descobertas duas vulnerabilidades críticas no PHP, uma linguagem de programação amplamente utilizada para criar sites e aplicações online.
Num aviso publicado em 21 de outubro, Zhao chamou a atenção para as falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, e alertou que os administradores de sites poderão não ter instalado as atualizações de segurança mais recentes.
Pode me chamar de paranoico, mas tenha muito cuidado ao visitar QUALQUER site nos próximos dias, pois alguns administradores de sites nem sempre estão em dia com as atualizações de segurança. Foram relatadas duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) no PHP, a linguagem de programação para a web, que afetam servidores que executam aplicativos populares, como WordPress e Magento. As correções foram disponibilizadas em 21 de outubro de 2026, após detalhes terem vazado antecipadamente. A exploração foi confirmada em ambientes reais pouco depois da divulgação, levando à rápida implementação de proteções de WAF e à aplicação de correções pelas equipes de TI, já que ataques sem autenticação poderiam transformar os sites visitados em vetores para roubo de credenciais ou exploração de dispositivos. Mantenha-se SAFU!
— CZ BNB (@cz_binance) 21 de outubro de 2026
As vulnerabilidades têm uma pontuação de gravidade de 9,2 em 10 e podem permitir que invasores executem código malicioso nos servidores afetados sem autenticação. Isso poderia dar aos invasores acesso a arquivos ou bancos de dados do servidor e permitir que alterassem o conteúdo dos sites.
Lançadas atualizações de segurança emergenciais
A equipe de desenvolvimento do PHP lançou atualizações de segurança em 21 de outubro e recomendou que os administradores atualizassem seus sistemas imediatamente. As versões corrigidas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
De acordo com o comunicado oficial do PHP, uma das vulnerabilidades envolve corrupção de memória quando o sistema fica sem memória, enquanto a outra permite que dados internos permaneçam acessíveis após a liberação da memória que os armazenava. Ambas as falhas podem permitir a execução remota de código em determinadas configurações afetadas.
As preocupações com a segurança levaram agências governamentais de cibersegurança a emitir alertas. A Agência da União Europeia para a Cibersegurança e outros órgãos europeus recomendaram que as organizações identificassem os sistemas afetados e aplicassem as correções disponíveis. O Centro Nacional de Cibersegurança da Nova Zelândia também informou estar ciente de explorações ativas.
Para quem usa criptomoedas, a preocupação é que invasores que comprometam um site possam alterar seu conteúdo ou inserir solicitações fraudulentas de conexão a carteiras e páginas de login. No entanto, as falhas afetam principalmente os servidores dos sites; visitar um site desenvolvido em PHP não compromete automaticamente o dispositivo ou a carteira de criptomoedas de quem o visita.
A equipe do PHP afirmou que a atualização é a única solução completa. Administradores que utilizam versões antigas do PHP sem suporte talvez precisem atualizar ou obter as correções adequadas junto aos fornecedores de seus softwares.
Até 22 de outubro, surgiram relatos de exploração, mas as fontes consultadas não haviam confirmado nenhum incidente que vinculasse diretamente essas vulnerabilidades a uma violação de uma corretora de criptomoedas ou à perda de fundos de usuários.