Falhas críticas no PHP provocam alerta de segurança em empresas de cripto

Visão geral

O projeto PHP divulgou, em 21 de outubro, correções para duas falhas críticas identificadas como CVE‑2026‑109618 e CVE‑2026‑109619, ambas com pontuação CVSS v4.0 de 9,2, segundo o CryptoSlate. A gravidade das vulnerabilidades, que permitem execução remota de código sem autenticação, levou a NSA a recomendar que usuários de PHP apliquem o patch imediatamente ou retirem os sistemas do ar, conforme o The Defiant. Chefões de segurança de empresas como Kraken e Ledger alertaram que infraestruturas de criptomoedas, incluindo roteadores e dispositivos embutidos que utilizam PHP, precisam ser revisados, e a Cloudflare registrou tráfego de ataques direcionado a clientes, segundo o CryptoSlate.

O que aconteceu

• Em 21 de outubro, a equipe do PHP lançou patches (PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12) para corrigir as falhas CVE‑2026‑109618 e CVE‑2026‑109619, segundo o CryptoSlate.
• As vulnerabilidades, conhecidas como PHP2Shell, recebem pontuação CVSS 9,2, permitindo que invasores não autenticados executem código remoto, conforme o CryptoSlate.
• A NSA, citada pelo The Defiant, instou usuários a aplicar o patch ou retirar sistemas do ar, enquanto a Cloudflare detectou tráfego de exploração, segundo o CryptoSlate.
• O Decrypt informou que cerca de 70 % da internet pode estar em risco devido à ampla adoção do PHP, segundo o Decrypt.

Números-chave

Pontuação CVSS v4.0

9,2segundo o CryptoSlate

Internet potencialmente afetada

70 %segundo o Decrypt

Citações

“Uma falha como essa pode permitir que um invasor execute seu próprio código em um servidor afetado pela internet, o que pode levar ao roubo de dados, à desfiguração de um site ou à tomada total do controle”

— GoDaddy

Por que importa

Como grande parte das plataformas de criptomoedas depende de servidores web PHP, a exploração dessas falhas poderia comprometer serviços, fundos e dados sensíveis, gerando risco sistêmico ao ecossistema cripto.