Duas falhas graves de segurança descobertas no PHP, linguagem de programação amplamente utilizada na internet, causaram instabilidade e forçaram governos e empresas ao redor do mundo a desativarem portais nesta quarta-feira (21). O problema atinge a base de milhões de sites e sistemas corporativos que dependem da tecnologia, incluindo gerenciadores de conteúdo populares como WordPress, Drupal, Joomla e Magento.
As vulnerabilidades, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, foram classificadas como críticas. De acordo com pesquisadores da empresa de segurança Wiz Research e agências internacionais, as falhas permitem que invasores executem códigos de forma remota sem necessidade de autenticação ou senha. Isso possibilita que o controle total de um servidor seja assumido apenas por meio de requisições maliciosas.
O cenário de alerta máximo se instaurou após informações detalhadas sobre os problemas vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores. Com o segredo revelado, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, levando autoridades e corporações a adotarem medidas drásticas de contenção.
Autoridades da Europa emitem alerta severo para atualizações de sistemas
O impacto foi imediato na Europa. O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu um alerta severo recomendando a aplicação imediata de correções ou, caso não fosse possível, a desconexão temporária de servidores expostos à internet. Seguindo as orientações, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais, com a Holanda desativando portais da previdência, de ministérios, e até sites de partidos políticos como medida preventiva. Na Finlândia, o provedor estatal de serviços de Tecnologia da Informação (TI) também isolou redes públicas para mitigar riscos.
A Cloudflare informou ter interceptado ondas de ataques logo nas primeiras horas do dia. O Diretor de Tecnologia (CTO) da empresa, Dane Knecht, destacou que defesas emergenciais foram ativadas no firewall para proteger os clientes, mas enfatizou que se tratava de uma medida provisória. Knecht afirmou: “Estamos vendo ataques iniciais surgindo e atualizamos as mitigações conforme novos vetores aparecem. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção.”
Por que as falhas no PHP são tão graves?
A gravidade do problema reside no fato de que as falhas ocorrem na base da linguagem, afetando o sistema responsável por executar códigos PHP, e não um plugin ou site específico. A Wiz Research alertou que versões do sistema desde o PHP 5 podem estar vulneráveis, permitindo que invasores acessem dados sensíveis armazenados na memória dos servidores, como senhas, tokens de acesso e chaves de API.
Segundo os pesquisadores, a exploração das falhas pode afetar aplicações em contêineres do WordPress, Drupal e Joomla. A empresa de segurança Patchstack e especialistas da Wordfence lembraram que atualizar os sites através do painel de administração não resolve o problema, sendo responsabilidade dos administradores de servidores e provedores de hospedagem aplicar as novas versões disponibilizadas pelo comitê gestor do PHP.
A equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Desenvolvedores centrais da tecnologia, como Gina Peter Banyard, enfatizaram que não existem soluções paliativas totalmente seguras, e que a única proteção confiável é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada.
