A equipe de desenvolvimento do PHP lançou nesta quarta-feira (21) atualizações de segurança para corrigir duas falhas críticas na linguagem. O anúncio sobre esse lançamento havia sido feito ontem, atraindo a atenção da comunidade.
Um relatório feito pela SlowMist mostra que 793 domínios do setor de criptomoedas estariam expostos a estas vulnerabilidades. Dado isso, a empresa de segurança recomendou que todos atualizem os seus sistemas.
Nas redes sociais, muitos estão se mostrando preocupados com essas descobertas de vulnerabilidades direta ou indiretamente ligadas à indústria cripto.
Falhas no PHP permitem a execução remota de código sem autenticação, revela equipe
Em nota publicada nesta terça-feira (20), a equipe responsável pelo PHP afirmou ter encontrado duas notas 9,2 de 10 no CVSS 4.0, ou seja, consideradas críticas. Já nesta quarta-feira (21), os desenvolvedores lançaram um patch de correção e deram mais detalhes sobre as vulnerabilidades.
Em suma, a CVE-2026-109618 registra uma falha no tratamento de falta de memória, podendo fazer o PHP processar dados internos inválidos como se fossem legítimos. Já a CVE-2026-109619 aponta que dados internos de uma requisição podem continuar acessíveis após a memória correspondente ser liberada, permitindo que outra requisição explore este estado obsoleto.
“Quem está em risco: todas as instalações do PHP que atendem a requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Consideramos que o risco é maior no mod_php, para o qual foi demonstrada uma exploração em que uma requisição não autenticada pode acionar o ataque antes mesmo da execução de qualquer código da aplicação.”
As atualizações para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 já estão disponíveis no site oficial do projeto.
Os desenvolvedores também destacam que o PHP 8.1 e versões anteriores não recebem mais atualizações, mas que disponibilizaram correções mínimas retroportadas para o PHP 7.4, 8.0 e 8.1.
Caso um projeto não possa atualizar imediatamente, o texto também apresenta configurações preventivas para limitar ambas às vulnerabilidades.
SlowMist recomenda que projetos de criptomoedas apliquem a atualização
Em nota publicada nas redes sociais, a equipe da SlowMist revelou que 793 domínios ligados ao setor de criptomoedas utilizam PHP em suas soluções. Portanto, recomendaram que tais projetos apliquem a atualização de segurança.
“O sistema de inteligência contra ameaças da SlowMist, o MistEye, realizou uma varredura global de ativos relacionados ao PHP em todo o setor de criptomoedas. Recomendamos que todas as plataformas, projetos DeFi, provedores de carteiras e demais partes envolvidas avaliem os possíveis riscos e atualizem seus sistemas para as versões oficiais corrigidas assim que estiverem disponíveis.”
Embora o comunicado não cite nomes individuais, o texto mostra que fundos de usuários poderiam estar em risco, já que provedores de carteiras e projetos DeFi poderiam estar vulneráveis a esta ameaça.
Até o momento, não há informações sobre ataques contra projetos do setor.
