Vulnerabilidades no PHP afetam sites e serviços públicos

Na quarta-feira, 21 de outubro de 2026, foram descobertas duas vulnerabilidades críticas no PHP, uma linguagem de programação open source amplamente utilizada na construção da maioria dos sites. Essas falhas, com pontuação alarmante de 9,2 em uma escala que vai até 10, têm o potencial de causar interrupções nos serviços, vazamentos de dados e até mesmo a execução remota de código malicioso. Os desenvolvedores do projeto PHP informaram que as vulnerabilidades afetam especificamente servidores que operam com PHP 5.4 e versões posteriores.

O que é preocupante é que essas falhas permitem que hackers assumam o controle dos servidores de sites remotamente, sem a necessidade de senhas. O problema está ligado ao gerenciamento de memória durante o processamento de requisições HTTP. Os desenvolvedores destacam que, “não há soluções definitivas; a atualização é a única opção segura”.

A Cloudflare, uma empresa que atua na área de infraestrutura e segurança na web, também confirmou a identificação dessas falhas, que estão registradas como CVE-2026-109618 e CVE-2026-109619, conhecidas pelo nome de php2shell. Vale ressaltar que a empresa ativou proteções automáticas em seu firewall de aplicações web (WAF) cerca de nove horas antes do anúncio público. Essa ação abrange os usuários do plano gratuito que têm essa funcionalidade habilitada, mas, de qualquer forma, a atualização dos servidores se faz necessária.

O PHP é uma tecnologia chave na criação de sites e plataformas populares, como o WordPress, e está presente em cerca de 70% dos sites da internet, conforme dados da Cloudflare. Por essa razão, as vulnerabilidades podem afetar uma vasta gama de páginas, que vão desde lojas virtuais e portais de notícias até sistemas governamentais. Um exemplo disso é que serviços da Anatel ficaram temporariamente fora do ar hoje.

Essas falhas foram detectadas de forma independente meses atrás, tanto pela empresa de segurança Calif quanto pela OpenAI, responsável pelo ChatGPT. No entanto, antes da divulgação oficial, informações sobre as vulnerabilidades vazaram, levando alguns sites a serem retirados do ar temporariamente enquanto seus administradores realizavam as atualizações necessárias nos servidores.

Portanto, essa falha significativa no PHP resultou na queda de diversos sites e serviços públicos. É um alerta para a importância da segurança digital e da atualização contínua das tecnologias utilizadas.

Atualizado há 1 hora

Pesquisadores de segurança utilizaram ferramentas de inteligência artificial para descobrir falhas no PHP que estavam presentes há mais de uma década. Essas vulnerabilidades foram identificadas por empresas como Wiz e Calif, que empregaram modelos avançados de IA do Google e da OpenAI para analisar o PHP e demonstrar possíveis ataques. A investigação revelou que o problema estava no gerenciamento de memória, permitindo que criminosos executassem comandos maliciosos em servidores. Essas descobertas aceleraram a identificação e a correção das falhas, que já foram resolvidas pelos desenvolvedores do PHP. No entanto, os administradores de sistemas ainda precisam aplicar as atualizações para garantir a segurança de seus servidores.

Atualizado há menos de 1 hora

Os Países Baixos retiraram do ar o sistema de identidade digital DigiD, o portal governamental Overheid.nl e o site da câmara baixa do parlamento; o Porto de Roterdão, vários hospitais e os cinco maiores partidos políticos do país seguiram o exemplo. Até o Centro Nacional de Cibersegurança dos Países Baixos desligou o seu próprio site.

Na Finlândia, o fornecedor estatal de TI Valtori suspendeu em bloco os serviços digitais do governo “como medida de precaução”. O Ministério do Interior francês colocou os sites das administrações locais em modo de manutenção e o serviço federal de TI alemão, ITZBund, desligou vários portais.

O CERT-EU, o serviço de cibersegurança das instituições europeias, foi mais longe e recomendou que todas as organizações incapazes de aplicar a correção de imediato retirassem os seus sites da internet em vez de arriscarem um ataque.

Entre as versões corrigidas contam-se o PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Todas as anteriores deixaram de receber atualizações oficiais e devem ser consideradas expostas, salvo se o fornecedor tiver adaptado a correção, advertiu a equipa de resposta a emergências de cibersegurança da União Europeia (CERT-EU) numa nota.

Atualizado há menos de 1 hora

As duas vulnerabilidades críticas do PHP divulgadas ontem (21/10) estavam sob tentativa de ataque há quatro dias. A Amazon Web Services (AWS) identificou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento. A AWS identificou a primeira tentativa a partir de um endereço IP associado a um serviço comercial de anonimização. Segundo a Amazon, o comportamento indica uma provável ação maliciosa, mas ainda não está claro como o responsável obteve informações sobre a vulnerabilidade antes da divulgação pública. A situação se intensificou nessa quarta-feira. A AWS identificou diferentes provas e novas tentativas de exploração vindas de outras infraestruturas. Os códigos e serviços utilizados variavam, o que sugere a participação de vários agentes. A AWS afirma que o PHP2Shell agora está sendo explorado em larga escala na internet. Mesmo sem casos confirmados de execução remota de código bem-sucedida, a quantidade de tentativas aumenta a urgência para administradores que ainda não instalaram as correções. A Amazon também chama atenção para o papel da inteligência artificial nessa nova dinâmica. Segundo a empresa, ferramentas assistidas por IA reduzem o tempo para encontrar um método eficaz de ataque. Os problemas que acabaram resultando no PHP2Shell já eram discutidos desde 2024. Tentativas anteriores de correção esbarraram no risco de quebrar compatibilidade com sistemas existentes e criar novas brechas. A PHP Foundation afirma que pretende revisar seus processos para que vulnerabilidades críticas recebam decisões mais rápidas no futuro.