Falhas críticas no PHP derrubam sites e exigem atualização hoje

Segurança Digital

Vulnerabilidades graves no PHP ameaçam servidores globalmente, exigindo atualização imediata para evitar invasões.

Leia também: Spyware AdFection infecta via anúncios online

Duas falhas críticas de segurança no PHP, que permitem a execução remota de código sem autenticação, colocam hoje em alerta milhões de sites e servidores no mundo todo e já levaram governos como França e Países Baixos a tirarem serviços do ar. As brechas, corrigidas em atualização emergencial nesta quarta-feira (21), afetam diretamente plataformas como WordPress, Drupal, Joomla e Magento.

O que mudou com a atualização de hoje

A equipe de segurança do PHP e desenvolvedores voluntários liberaram nesta quarta-feira (21) novos pacotes das versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para fechar as vulnerabilidades catalogadas como CVE-2026-109618 e CVE-2026-109619. Todas as instalações que rodam PHP em servidores web e estão em versões anteriores a essas são consideradas potencialmente exploráveis.

As falhas afetam também ambientes que usam PHP 8.1 e anteriores, que já não recebem manutenção regular. Para tentar reduzir o número de sistemas descobertos, a equipe disponibilizou backports mínimos do código corrigido para as versões 7.4, 8.0 e 8.1, voltados a quem compila o PHP manualmente ou depende de fornecedores sem suporte de longo prazo.

No comunicado à comunidade, a PHP Foundation foi direta: “Se você usa PHP, é imperativo atualizá-lo imediatamente”. A recomendação vale para qualquer cenário em que o PHP processe requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, com risco considerado maior no uso do mod_php.

Como funcionam as falhas e por que são tão graves

As brechas não estão em plugins ou aplicações específicas, mas no funcionamento interno da própria linguagem. Um dos erros aparece em situações de falta de memória; o outro, no reaproveitamento indevido de dados antigos entre diferentes requisições.

Na prática, isso permite que invasores enviem requisições maliciosas a um servidor vulnerável e executem código arbitrário sem qualquer login, obtendo controle total da máquina. Pesquisadores destacam que é possível ler da memória do servidor informações sensíveis como senhas, tokens de acesso e chaves de API, além de acessar diretamente sistemas de arquivos e bancos de dados.

Como a falha está na base que roda o PHP, atualizar temas e plugins do WordPress ou de outros gerenciadores de conteúdo não resolve. Especialistas da Patchstack e da Wordfence reforçam que a responsabilidade pela correção é de administradores de servidores e provedores de hospedagem, que precisam atualizar o PHP no sistema operacional ou nos painéis de controle.

Entenda o contexto

As vulnerabilidades foram identificadas em agosto pela empresa de segurança Calif e pela OpenAI, de forma independente e no mesmo dia, e depois aprofundadas por equipes como a Wiz Research. As informações foram mantidas em sigilo enquanto a correção era preparada, seguindo a prática de divulgação coordenada de falhas graves.

O plano, porém, desandou na terça-feira (20), quando detalhes técnicos das brechas vazaram online antes do anúncio oficial. O vazamento antecipado desencadeou uma corrida de grupos maliciosos, que iniciaram varreduras automatizadas e tentativas de invasão em massa a servidores expostos.

A Cloudflare relatou ter detectado ondas iniciais de ataques ainda nas primeiras horas desta quarta-feira (21) e aplicou regras emergenciais de firewall para proteger seus clientes. “Estamos vendo ataques iniciais surgindo e atualizamos as mitigações conforme novos vetores aparecem. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção”, alertou o CTO da empresa, Dane Knecht.

Diante do cenário, a Agência de Segurança Nacional dos Estados Unidos (NSA) recomendou que organizações corrijam os sistemas imediatamente ou simplesmente desliguem máquinas vulneráveis até que possam aplicar as atualizações. Em comunicado público, a agência afirmou que brechas desse tipo “frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor”.

Governos tiram serviços do ar

A gravidade da situação ficou evidente com as decisões de governos europeus. Na França, sites de administrações locais — incluindo o da Prefeitura de Polícia de Paris — foram desativados por precaução desde a tarde desta quarta-feira. Nos Países Baixos, o sistema nacional de identidade digital DigiD e o portal da Câmara dos Representantes também foram suspensos temporariamente para evitar exploração das falhas.

Agências governamentais e empresas em diversos países seguiram o mesmo caminho, optando por colocar páginas em manutenção enquanto avaliam a exposição de suas infraestruturas e correm para atualizar servidores. A medida busca evitar que os ataques em curso resultem em sequestro de dados, instalação de malware ou interrupção prolongada de serviços críticos.

Como o PHP é usado em uma vasta gama de sites — de lojas virtuais e veículos de mídia a sistemas corporativos e portais públicos — o impacto da indisponibilidade atinge usuários finais, que enfrentam instabilidade e queda de serviços, e empresas que correm o risco de prejuízos financeiros e danos à reputação.

IA acelera descoberta e exploração de brechas

O episódio ocorre em um ano em que a segurança de software já vinha sob pressão, com o aumento constante do número de vulnerabilidades detectadas. Com o uso crescente de inteligência artificial para analisar grandes volumes de código e encontrar falhas, especialistas projetam que o total de vulnerabilidades identificadas em 2026 pode dobrar o recorde anterior.

No caso das falhas no PHP, a OpenAI aparece em uma posição incomum: a empresa é apontada como uma das descobridoras originais, ao lado da Calif, mas também está no centro de um debate mais amplo sobre como modelos de IA podem ser usados tanto para reforçar a segurança quanto para facilitar a criação de códigos de exploração.

A Wiz Research, ligada ao Google, informou ter encontrado maneiras adicionais de explorar as mesmas vulnerabilidades, o que reforçou a classificação crítica das falhas e aumentou a urgência pela aplicação dos patches.

O que administradores e provedores precisam fazer agora

Para quem administra servidores, a orientação é considerada inequívoca: atualizar o PHP para as versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 o mais rápido possível, ou aplicar os backports disponibilizados para 7.4, 8.0 e 8.1 em ambientes que ainda dependem dessas linhas antigas.

A equipe do PHP divulgou orientações temporárias para mitigar alguns vetores de ataque — como ajustes de configuração e filtros adicionais em camadas de rede —, mas ressalta que essas medidas não eliminam o risco. Desenvolvedores centrais da linguagem enfatizam que não há solução paliativa totalmente segura: a única proteção definitiva é a atualização completa de toda a infraestrutura afetada.

Especialistas também lembram que, mesmo após aplicar o patch, é recomendável revisar logs de acesso e monitorar comportamento anormal em servidores que estavam expostos desde terça-feira, quando os detalhes das falhas se tornaram públicos. Em muitos casos, a exploração não deixa sinais evidentes para o usuário final, o que exige investigação mais cuidadosa por parte das equipes técnicas.

Para donos de sites que usam hospedagem compartilhada ou gerenciada, a recomendação é checar com urgência, junto ao provedor, se a versão do PHP do servidor já foi atualizada. Sem essa correção na base, nenhuma medida tomada dentro do painel do WordPress, Drupal, Joomla ou Magento é suficiente para blindar o ambiente contra as novas tentativas de ataque.

Fontes: matéria original 1 · matéria original 2 · matéria original 3