Charles Guillemet, diretor de tecnologia (CTO) da Ledger, recorreu às redes sociais a 21 de outubro de 2026 para alertar que um conjunto de falhas críticas de software e infraestrutura criou um ambiente de segurança que descreveu como "verdadeiramente assustador", com implicações que se estendem a sistemas de exchanges de criptomoedas e carteiras dependentes das pilhas tecnológicas afetadas.
No centro do alerta estão duas vulnerabilidades críticas na linguagem de programação PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, cada uma com uma classificação de gravidade de 9,2 em 10. Segundo Guillemet, não existe correção para versões mais antigas do PHP ainda em produção. A PHP Foundation está a lançar hoje uma correção, mas esta cobre apenas as versões PHP 8.2 a 8.5, deixando por proteger uma parcela substancial da infraestrutura em funcionamento.
Essa lacuna é significativa na prática. O investigador Jonathan Cran compilou dados que mostram que 59% dos servidores expostos ainda utilizam versões obsoletas do PHP, anteriores à 8.1, e que mais de 884.000 servidores em todo o mundo contêm o código vulnerável. A exposição é desigual a nível geográfico: na Argentina, 88% dos equipamentos registados não têm sequer um caminho de correção atribuído.
Node.js e TLS juntam-se ao quadro
O alerta de Guillemet não ficou pelo PHP. O responsável apontou quatro falhas de gravidade elevada reveladas este mês no Node.js, o ambiente de execução JavaScript amplamente utilizado, que, segundo ele, permitem a execução de código arbitrário nos sistemas afetados. Separadamente, assinalou o comprometimento de oito certificados TLS intermédios, cujas chaves privadas foram expostas, minando uma camada de confiança de que grande parte da web — incluindo serviços que lidam com transações cripto — depende para proteger as ligações.
No seu conjunto, os três problemas abrangem as camadas das quais muitas plataformas de exchange, carteiras custodiadas e serviços cripto voltados para a web dependem: a linguagem de scripting que executa a lógica no servidor, o ambiente de execução que corre o código da aplicação e a infraestrutura de certificados que protege os dados em trânsito. Uma fragilidade em qualquer uma delas pode bastar para comprometer um sistema que, de outra forma, pareceria bem defendido.
Camada de protocolo do Bitcoin não é afetada
Um ponto de tranquilidade na nota diz respeito ao próprio Bitcoin. A camada de consenso do protocolo não tem dependências de PHP e está imune aos problemas de execução remota descritos. Essa distinção é relevante para detentores e instituições europeias que avaliam onde está realmente o risco: a exposição situa-se na infraestrutura web envolvente — exchanges, interfaces de carteiras, serviços custodiados — e não no código base do Bitcoin.
Para operadores que gerem infraestrutura voltada para o setor cripto com versões antigas de PHP, instâncias de Node.js por corrigir ou sistemas que confiam nos certificados TLS comprometidos, a conclusão prática é simples: a cobertura das correções está incompleta, e o remendo lançado hoje pela Foundation não chegará a todos os servidores expostos. O alerta de Guillemet funciona como um incentivo para que os operadores do setor, na Europa e além, auditem as suas infraestruturas em vez de assumirem que o problema já está contido.
