Falhas críticas no PHP colocam milhões de sites em risco global

Duas vulnerabilidades de segurança consideradas críticas no PHP viraram o centro das atenções nesta quarta-feira (21), após chegarem ao conhecimento público e forçarem empresas e governos ao redor do planeta a desativarem páginas na internet para impedir que o problema se agravasse.

Mas o que significa PHP? Trata-se de uma linguagem de programação de código aberto desenvolvida especificamente para a criação de páginas web. Segundo dados do W3Techs, ela figura entre as soluções mais populares do mundo, estando presente em quase 70% de todas as páginas cuja tecnologia do lado do servidor é identificada.

A tecnologia não se restringe a uma única edição, sendo a versão estável mais recente a PHP 8.5. Conforme o levantamento, 65,2% dos portais que utilizam a linguagem estão estruturados na versão 8. Por ser um projeto de código aberto e de acesso gratuito, a ferramenta conta com melhorias contínuas feitas pela comunidade e por programadores apoiados pela PHP Foundation.

Por que a linguagem é tão popular?

O PHP atrai milhões de usuários por ser relativamente simples de aprender, permitindo a inserção de comandos diretamente no HTML. Seu vasto ecossistema também se destaca, facilitando a localização rápida de ferramentas, soluções para impasses e outros recursos na internet.

Além disso, a plataforma apresenta forte potencial de escalabilidade — aspecto essencial para lidar com grandes fluxos de acesso —, além de manter excelente compatibilidade com bancos de dados tradicionais como MySQL, MongoDB e PostgreSQL.

Entre as ferramentas construídas com essa tecnologia estão sistemas populares de gerenciamento de conteúdo, a exemplo do WordPress e do Drupal, que servem de alicerce para diversos blogs e portais. No Brasil, plataformas de grandes serviços também empregam a linguagem em diferentes níveis.

Detalhes das falhas descobertas no PHP

As brechas de segurança sinalizadas como críticas foram registradas sob os códigos CVE-2026-109618 e CVE-2026-109619. Conforme divulgado, as falhas possibilitam a execução remota de código por invasores sem a exigência de qualquer autenticação prévia.

* CVE-2026-109618 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP utiliza a função longjmp() em casos de erros por falta de memória (OOM, na sigla em inglês) para sair do contexto atual e interromper o processamento da requisição. Alguns contextos podem não lidar adequadamente com esse cenário, deixando a memória da requisição em um estado não inicializado antes de realizar uma alocação. O procedimento de limpeza da requisição, executado na sequência, lê essa memória e a utiliza para determinar o fluxo de execução. Diferentes estratégias relacionadas a erros de falta de memória podem desencadear essa condição de forma consistente, possibilitando a execução remota de código; * CVE-2026-109619 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP possui diversos estados globais que apontam temporariamente para a memória de uma requisição. Em alguns cenários, um estado global pode não ser redefinido corretamente ou pode ser repopulado após a redefinição. Assim, o estado global pode acabar referenciando uma memória que já foi liberada. Requisições subsequentes podem ler esse estado obsoleto – ou tomar decisões com base nele – antes que ele seja totalmente inicializado. Diversas estratégias podem desencadear essa condição e resultar em execução remota de código.

Apesar da repercussão atual, as falhas não surgiram hoje. Em 11 de agosto, a empresa de segurança Calif reportou uma vulnerabilidade de execução remota de código ligada à mesma origem. Na mesma data, a OpenAI realizou uma descoberta independente sobre o problema. Já a Wiz Research identificou as brechas durante uma pesquisa própria, comunicando os dados à equipe de segurança do PHP em 24 de agosto.

Contudo, os dados das descobertas acabaram vazando na internet antes do previsto na última terça-feira (20). Como medida preventiva contra invasões, corporações e órgãos públicos optaram por desligar servidores.

O problema reside no próprio núcleo do PHP, e não em complementos ou extensões isoladas. Dessa forma, ambientes vulneráveis sofrem riscos independentemente da aplicação rodando sobre a tecnologia. A falha atinge versões da linguagem entre a 5.4 e a 8.5.11.

De acordo com a GoDaddy, empresa de hospedagem web, a execução remota de código é capaz de provocar roubo de informações ou vandalismo de páginas (conhecido como deface). Como a falha afeta a própria estrutura do PHP, a resolução demanda a atualização da linguagem no servidor, responsabilidade atribuída aos administradores do ambiente ou aos serviços de hospedagem.

No Brasil, os impactos também foram sentidos. O Sistema Eletrônico de Informações (SEI) da Agência Nacional de Telecomunicações (Anatel) precisou ser tirado do ar temporariamente para barrar acessos não autorizados.

Pacotes de emergência e correção

Diante do cenário, a equipe de desenvolvimento da linguagem disponibilizou pacotes emergenciais nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Diversos administradores e plataformas de hospedagem já aplicaram os patches — a GoDaddy, por exemplo, atualizou as versões da ferramenta em sua Hospedagem Gerenciada para WordPress.

“Se você usa PHP, é imperativo atualizá-lo imediatamente”, alertou a PHP Foundation, entidade que financia os desenvolvedores mantenedores da tecnologia.

Agora, equipes técnicas que mantêm projetos baseados na linguagem devem priorizar a verificação e a aplicação do patch de segurança. O procedimento de atualização varia conforme a arquitetura escolhida e, em determinados cenários, ocorre de maneira automatizada.