Duas vulnerabilidades críticas conhecidas como “PHP2Shell” passaram a preocupar empresas do setor de criptoativos depois que os desenvolvedores do PHP lançaram correções emergenciais em 21 de outubro. As falhas receberam nota 9,2 em uma escala de 10 e podem permitir que invasores acessem servidores afetados sem senha, roubem informações sensíveis e, potencialmente, assumam o controle de sites.
O risco não se limita aos serviços de criptomoedas. A Cloudflare confirmou tentativas de exploração contra seus clientes, enquanto alguns sites de governos europeus ficaram temporariamente fora do ar como medida preventiva. Para empresas que usam PHP em logins, solicitações de pagamento ou funções administrativas, a rapidez na aplicação das correções será determinante para limitar o período de exposição.
Como o processamento de memória do PHP abre o caminho
O PHP é uma tecnologia executada no servidor e utilizada por um grande número de sites para processar solicitações. Quando um usuário faz login, envia um pagamento ou interage com uma função da página, o PHP costuma lidar com os dados envolvidos. Pesquisadores identificaram que invasores poderiam manipular a forma como o PHP processa a memória do computador e acessar informações que deveriam permanecer protegidas.
A Wiz Research afirmou que uma exploração bem-sucedida poderia expor senhas, tokens de autenticação e chaves de API. Essas credenciais digitais podem estar vinculadas a contas de sites e também permitir acesso a serviços de terceiros conectados. Em páginas que administram ativos digitais ou processam pagamentos em criptomoedas, o roubo de credenciais pode ampliar o impacto para além do servidor inicialmente afetado.
Gateways de pagamento e exchanges menores entram na revisão
Três categorias de serviços exigem atenção especial. A primeira é a dos gateways de pagamento em criptomoedas. Comerciantes que usam integrações de pagamento baseadas em PHP, especialmente as conectadas ao WooCommerce, podem ficar expostos se seus servidores ainda não tiverem sido atualizados. Registros públicos mostram que Binance Pay, Crypto.com Pay, BitPay, CoinGate e CoinPayments oferecem integrações com o WooCommerce. A existência dessas integrações, por si só, não prova que a infraestrutura das empresas esteja vulnerável.
A segunda categoria é a das exchanges menores de criptomoedas. Se o portal de contas ou o sistema de pagamentos de uma exchange funcionar em um ambiente PHP afetado, uma invasão bem-sucedida do servidor poderá expor dados de clientes e credenciais sensíveis. Em comparação com plataformas maiores, que normalmente contam com procedimentos mais amplos de isolamento e aplicação de correções, os provedores menores precisarão confirmar se seus sites, painéis administrativos e plugins de terceiros ainda usam versões vulneráveis.
A terceira categoria envolve sites de DeFi e carteiras digitais. Se a interface de um site for alterada, os invasores poderão redirecionar usuários para endereços falsos de carteiras ou induzi-los a aprovar transações maliciosas. Até o momento, não há evidência verificada de que os provedores de pagamento ou as principais exchanges citadas tenham sido invadidos por meio do PHP2Shell.
Redes blockchain e chaves offline não são alvo direto
O risco na camada dos sites deve ser separado da segurança da infraestrutura blockchain e dos ativos armazenados. O PHP2Shell atinge diretamente servidores que executam PHP. A vulnerabilidade não afeta de forma direta as redes blockchain, os próprios contratos inteligentes ou chaves privadas mantidas com segurança em carteiras de hardware offline.
Da mesma forma, a existência de uma integração com PHP ou WooCommerce em um produto de pagamentos cripto não demonstra que os sistemas centrais de transações da empresa tenham sido atacados. O risco efetivo depende de um servidor específico executar uma versão afetada, de a correção ter sido aplicada e de os sistemas de contas, as interfaces de pagamento e as funções administrativas estarem devidamente isolados.
Exchanges maiores podem ter uma exposição menor caso tenham aplicado as correções rapidamente ou separado a infraestrutura crítica dos serviços web vulneráveis. A Kraken informou que concluiu em 2025 a migração de seu back-end principal do PHP para Rust. Por isso, a ligação direta entre o back-end da empresa e as vulnerabilidades precisa ser avaliada de acordo com o ambiente de implementação específico, e não apenas pela tecnologia identificada em um site.
Usuários não conseguem corrigir servidores das exchanges
As correções de segurança do PHP precisam ser aplicadas pelos operadores dos sites, provedores de pagamento ou empresas responsáveis pela infraestrutura de hospedagem. Usuários comuns não conseguem instalar patches diretamente nos servidores de uma exchange. Eles podem acompanhar a divulgação de atualizações de segurança pelas plataformas, tratar com cautela alertas incomuns de login, mensagens de redefinição de senha e alterações de endereços de carteira, além de evitar inserir senhas ou chaves de API em páginas suspeitas e aprovar transações desconhecidas.
Os fatos confirmados até agora são que os desenvolvedores do PHP lançaram correções emergenciais para duas vulnerabilidades, a Cloudflare identificou tentativas de exploração contra seus clientes e alguns sites de governos europeus foram temporariamente fechados. A exposição de uma exchange, gateway de pagamento ou site de carteira específico ainda depende da versão do servidor, do status da correção e das medidas de isolamento da rede. A simples presença de uma integração com PHP não basta para determinar o risco.