Falha grave no PHP causa apagão em governos e exige patches

Duas falhas graves de segurança descobertas no PHP, linguagem de programação amplamente utilizada na internet, causaram instabilidade e forçaram governos e empresas ao redor do mundo a tirarem portais do ar nesta quarta-feira (21). O problema atinge a base de milhões de sites e sistemas corporativos que dependem da tecnologia, incluindo gerenciadores de conteúdo populares como WordPress, Drupal, Joomla e Magento.

As vulnerabilidades receberam os códigos CVE-2026-109618 e CVE-2026-109619 e foram classificadas com nível crítico. De acordo com pesquisadores da empresa de segurança Wiz Research e agências internacionais, as falhas permitem que invasores realizem a execução remota de código sem precisar de nenhum tipo de autenticação ou senha. Dessa maneira, é possível assumir o controle total de um servidor apenas enviando requisições maliciosas.

O cenário de alerta máximo se instaurou após informações detalhadas sobre os problemas vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores. Com o segredo revelado, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, o que levou autoridades e corporações a adotarem medidas drásticas de contenção.

Impacto na Europa

O impacto foi imediato na Europa. O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu um alerta severo recomendando a aplicação imediata de correções ou, em caso de impossibilidade dela, a desconexão temporária de servidores expostos à internet.

Seguindo as orientações, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais. Na Holanda, portais da previdência, de ministérios, a agência de cibersegurança do país e até sites de partidos políticos saíram do ar como medida preventiva. Na Finlândia, o provedor estatal de serviços de Tecnologia da Informação (TI) também isolou redes públicas para barrar riscos.

A Cloudflare informou ter interceptado ondas de ataques logo nas primeiras horas do dia. O Diretor de Tecnologia (CTO, na sigla em inglês) da empresa, Dane Knecht, destacou que a empresa acionou defesas emergenciais no firewall para proteger os clientes, mas reforçou que a medida é provisória:

“Estamos vendo ataques iniciais surgindo e atualizamos as mitigações conforme novos vetores aparecem. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção”, alertou Knecht.

Por que as falhas no PHP são tão graves?

A gravidade do problema está no fato de que a falha ocorre na base da linguagem, o que afeta o sistema responsável por rodar os códigos PHP, e não um plugin ou site específico. A empresa Wiz Research destacou que versões do sistema que datam desde o PHP 5 podem carregar o risco, pois permitem que invasores leiam dados sensíveis armazenados na memória dos servidores, como senhas, tokens de acesso e chaves de API.

De acordo com os pesquisadores, a exploração pode acontecer “contra imagens de contêineres do WordPress, Drupal e Joomla” e “até mesmo um aplicativo simples em uma versão vulnerável do PHP pode ser explorado”.

A empresa de segurança Patchstack e especialistas da Wordfence lembraram que atualizar os sites por dentro do painel de administração não resolve o problema. A responsabilidade recai sobre os administradores de servidores e provedores de hospedagem, que precisam aplicar as novas versões disponibilizadas pelo comitê gestor do PHP.

A equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Desenvolvedores centrais da tecnologia, como Gina Peter Banyard, enfatizaram que não há soluções paliativas totalmente seguras e que a única proteção definitiva é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada.