Falhas críticas no PHP derrubam sites e obrigam empresas a isolar servidores
Vulnerabilidades críticas no PHP levam a ações de emergência em vários países.
Duas falhas críticas de segurança na linguagem de programação PHP, amplamente utilizada em milhões de sites e sistemas corporativos, resultaram na suspensão de portais governamentais e empresariais. As vulnerabilidades afetam gerenciadores de conteúdo populares, como WordPress, Drupal, Joomla e Magento.
Essas falhas são particularmente preocupantes, pois estão integradas à própria linguagem, o que significa que qualquer sistema que utilize versões vulneráveis do PHP pode estar em risco, independentemente das aplicações que estejam instaladas sobre ele.
Execução remota sem senha
As falhas de segurança, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, foram classificadas como críticas. Pesquisadores de segurança indicam que essas vulnerabilidades permitem que invasores executem código remotamente em servidores sem qualquer tipo de autenticação, possibilitando o controle total da máquina com apenas requisições maliciosas.
Versões do PHP desde a 5 estão suscetíveis a esses riscos, permitindo que invasores acessem dados sensíveis armazenados na memória dos servidores, como senhas e tokens de acesso. Mesmo aplicações simples em versões vulneráveis do PHP podem ser exploradas, e a ameaça se estende a contêineres de aplicações como WordPress, Drupal e Joomla.
Vazamento acelerou os ataques
O alerta aumentou após informações sobre as vulnerabilidades serem divulgadas antes do prazo oficial. Com os detalhes técnicos expostos, cibercriminosos começaram a realizar varreduras automatizadas e tentativas de invasão em larga escala, levando autoridades e empresas a adotarem medidas de contenção imediatamente.
O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu um alerta severo, recomendando a aplicação imediata das correções ou a desconexão temporária dos servidores expostos à internet. Em resposta, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais.
Na Holanda, portais de previdência, ministérios e agências de cibersegurança foram retirados do ar. Na Finlândia, o provedor estatal de serviços de TI isolou redes públicas para mitigar riscos. A Cloudflare também relatou a interceptação de ataques nas primeiras horas do dia e implementou defesas emergenciais para proteger seus clientes, embora tenha alertado que essas medidas são temporárias.
Atualização de servidor, não de painel
Especialistas em segurança, como a Patchstack e a Wordfence, alertam que a atualização dos sites pelo painel de administração não resolve o problema. A correção deve ser aplicada diretamente na infraestrutura do servidor, responsabilidade que recai sobre administradores e provedores de hospedagem.
A equipe de desenvolvimento do PHP lançou pacotes de emergência para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A desenvolvedora central da tecnologia enfatiza que não existem soluções paliativas totalmente seguras; a única proteção eficaz é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada.
