Três falhas no PHP em uma semana. Olhando agora para aquela onda de declarações da semana passada — “nosso projeto não usa PHP, os fundos estão seguros” —, parece mais uma competição de avisos legais.
A Fundação PHP divulgou mais uma vulnerabilidade de risco de execução remota de código, a terceira: CVE-2026-115560. Ela afeta algumas configurações que alternam o manipulador de serialização em tempo de execução. A solução temporária é definir session.upload_progress.enabled como 0. Antes disso, em 21 de outubro, foram corrigidas às pressas as CVE-2026-109618 e 109619, com CVSS 9,2, exploráveis sem necessidade de login.
O fato de o contrato não usar PHP não significa que você esteja seguro. Você não faz ideia do que roda por trás do site oficial que acessa, do painel da equipe do projeto ou da página de “resgate do airdrop” que um KOL manda. O PHP sustenta cerca de 70% dos sites, e as tentativas de ataque já chegaram à casa dos milhões. Até agora, não há confirmação de grandes roubos, mas esse tipo de coisa costuma ser assim: primeiro parece que está tudo bem e, de repente, não está.
Então, se alguém no grupo gritar “migrem os ativos com urgência” esta semana, vou presumir que é um golpista. O mesmo vale para a conta oficial do projeto: primeiro confirmem por outros canais.
#网络安全 #phishing
A Fundação PHP divulgou mais uma vulnerabilidade de risco de execução remota de código, a terceira: CVE-2026-115560. Ela afeta algumas configurações que alternam o manipulador de serialização em tempo de execução. A solução temporária é definir session.upload_progress.enabled como 0. Antes disso, em 21 de outubro, foram corrigidas às pressas as CVE-2026-109618 e 109619, com CVSS 9,2, exploráveis sem necessidade de login.
O fato de o contrato não usar PHP não significa que você esteja seguro. Você não faz ideia do que roda por trás do site oficial que acessa, do painel da equipe do projeto ou da página de “resgate do airdrop” que um KOL manda. O PHP sustenta cerca de 70% dos sites, e as tentativas de ataque já chegaram à casa dos milhões. Até agora, não há confirmação de grandes roubos, mas esse tipo de coisa costuma ser assim: primeiro parece que está tudo bem e, de repente, não está.
Então, se alguém no grupo gritar “migrem os ativos com urgência” esta semana, vou presumir que é um golpista. O mesmo vale para a conta oficial do projeto: primeiro confirmem por outros canais.
#网络安全 #phishing