Falha grave no PHP 5.4+ expõe 70% da web a ataques hoje

Segurança Digital

Vulnerabilidades críticas no PHP 5.4+ colocam milhões de sites em risco de ataques remotos atualmente.

Leia também: Demand 2.5 cs cai 26% nos EUA, mas vagas em IA disparam 268%

Duas vulnerabilidades críticas no PHP, presentes em versões usadas por cerca de 70% dos sites da internet, estão sendo ativamente exploradas nesta quinta-feira (22), derrubando serviços e abrindo brechas para invasores instalarem backdoors em servidores de todo o mundo.

Falhas afetam da versão 5.4 em diante e já têm exploit em uso

As falhas, catalogadas como CVE-2026-109618 e CVE-2026-109619, atingem todas as versões do PHP desde a 5.4 e permitem execução remota de código, negação de serviço e exposição de dados sensíveis. Na prática, um atacante consegue assumir o controle do servidor vulnerável, plantar um web shell (uma espécie de painel secreto de controle via navegador) e manter acesso prolongado ao sistema.

Diante da gravidade, a equipe do PHP liberou hoje atualizações emergenciais para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem os dois bugs. A recomendação é de atualização imediata, inclusive para ambientes que rodam grandes plataformas como Drupal, Magento, Joomla e WordPress.

Mesmo com o patch disponível, especialistas alertam que o impacto ainda está só no começo. PHP é base da maior parte da web dinâmica, espalhado por provedores de hospedagem, nuvens públicas, redes de distribuição de conteúdo e servidores independentes, o que torna a aplicação das correções lenta e desigual.

Sites governamentais fora do ar e mitigação emergencial

Desde as primeiras horas do dia, empresas de segurança registram exploração ativa das falhas. A Cloudflare informou ter detectado tentativas de ataque e, às 3h02 (UTC), aplicado regras de firewall específicas para bloquear tráfego malicioso direcionado às vulnerabilidades, tentando conter ondas de negação de serviço e invasões em massa.

Sites governamentais na Europa e em outros países tiveram instabilidade e chegaram a sair do ar após a divulgação pública dos problemas, em meio a uma corrida global para aplicar os patches. Hospedagens compartilhadas, que concentram milhares de domínios em poucos servidores PHP, são especialmente sensíveis a esse tipo de falha, já que um único servidor comprometido pode expor dezenas de milhares de sites.

O SANS Internet Storm Center acompanha o lançamento de pacotes corrigidos por grandes distribuições de sistemas operacionais, como o Ubuntu, que já disponibilizou versões atualizadas do PHP em seus repositórios.

Entenda o contexto

Segundo a Censys, que mapeia tecnologias expostas na internet, 2,58 milhões de hosts acessíveis publicamente rodam PHP hoje, sustentando cerca de 54,9 milhões de propriedades web. Como muitas aplicações usam PHP embutido em painéis de controle, sistemas legados e integrações complexas, localizar todos os pontos vulneráveis e atualizá-los é um desafio considerável.

Pesquisadores da Wiz, uma das empresas envolvidas na descoberta e análise das brechas, classificam o caso como histórico. “Essas descobertas estão entre as vulnerabilidades mais severas já descobertas no PHP, e possivelmente na história do software”, escreveram. Eles comparam o cenário ao episódio Log4Shell, falha em uma biblioteca Java que provocou uma corrida global por patches e monitoramento reforçado de ataques.

Para a Wiz, o alcance da falha ultrapassa em muito um único site. “Uma vulnerabilidade no núcleo do PHP alcança muito além de uma única aplicação”, afirmaram os pesquisadores, lembrando que a linguagem está disseminada em nuvens, provedores de hospedagem, redes de entrega de conteúdo e milhões de servidores administrados de forma independente.

Papel da IA: falha antiga, exploração nova

Um dos pontos que mais preocupam a comunidade de segurança é o papel de modelos avançados de inteligência artificial na viabilização dos ataques. Os bugs existem há décadas no código do PHP, mas, até agora, demonstrar uma forma prática de explorá-los exigia uma cadeia de passos extremamente complexa.

Pesquisadores da Wiz explicam que “modelos avançados de IA reduziram a complexidade para explorar uma falha que estava presente há décadas”, derrubando uma barreira que antes estava “no limite do que pesquisadores humanos conseguiam alcançar na prática”. Na avaliação da empresa, isso transforma um erro antigo, conhecido apenas em teoria, em uma arma explorável em larga escala.

A OpenAI, que participou da pesquisa e da divulgação coordenada das vulnerabilidades ao lado de Wiz, Calif e da própria equipe do PHP, também reforça o peso do episódio. “Dado a gravidade dessas falhas e o uso difundido do PHP, consideramos este um dos problemas de segurança mais impactantes da memória recente”, afirmou a organização.

Pressão por atualização imediata e risco de backdoors

Enquanto provedores de nuvem e serviços de segurança implementam camadas adicionais de proteção, a correção definitiva depende da ação de milhões de administradores de sistemas e desenvolvedores ao redor do planeta. Em empresas grandes, cada atualização de PHP costuma passar por testes e janelas de manutenção; em sites pequenos, muitas vezes o software está desatualizado ou sem responsável técnico ativo.

Esse descompasso abre espaço para ondas de ataques automatizados à medida que scripts maliciosos varrem a internet atrás de servidores vulneráveis. A Wiz alerta que a expectativa é de uso massivo das falhas para instalar web shells e outros tipos de backdoor, que permitem aos invasores voltar ao sistema mesmo depois de um patch aplicado, caso o compromisso inicial não seja identificado.

Para reduzir danos, especialistas recomendam priorizar a atualização de qualquer servidor que rode PHP 5.4 ou superior para uma das versões corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35), revisar logs em busca de atividade suspeita desde a madrugada e reforçar camadas de proteção, como firewalls de aplicação web, regras de bloqueio comportamental e autenticação forte em painéis administrativos.

Empresas e órgãos públicos mais dependentes de serviços online, como lojas virtuais, portais de conteúdo e sistemas governamentais de atendimento digital, devem enfrentar, nos próximos dias, uma combinação de manutenções emergenciais e possíveis interrupções pontuais, à medida que o esforço de correção avança em paralelo ao aumento das tentativas de exploração.

Fonte: matéria original