Falhas críticas no PHP forçam sites governamentais e empresas a saírem do ar
Destaques
- •Duas vulnerabilidades críticas no PHP, linguagem presente em milhões de sites, foram descobertas, permitindo controle remoto de servidores.
- •Governos na França e Holanda, além de empresas, tiraram sites do ar como medida de precaução, enquanto desenvolvedores lançaram atualizações emergenciais.
- •A correção exige atualização direta na infraestrutura do servidor, não apenas no painel de administração, e a situação exige atenção contínua.
Duas falhas críticas de segurança na linguagem de programação PHP (Hypertext Preprocessor), amplamente utilizada na internet, levaram agências governamentais e empresas em diversos países a tirar seus sites do ar nesta quarta-feira (21). As vulnerabilidades, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, permitem que hackers assumam o controle de servidores sem a necessidade de senhas, apenas enviando requisições maliciosas.
A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta pedindo a correção imediata das falhas ou o desligamento dos sistemas afetados. Segundo a agência, as vulnerabilidades "frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor". A descoberta ocorre em um momento de crescente preocupação com a segurança de software, impulsionada pelo avanço da inteligência artificial.
Vulnerabilidades e Impacto Amplo
As falhas afetam gerenciadores de conteúdo populares como WordPress, Drupal, Joomla e Magento, pois estão na base da própria linguagem PHP, e não em plugins ou aplicações isoladas. Isso significa que qualquer sistema que utilize versões vulneráveis do PHP pode estar exposto, independentemente do software instalado sobre ele.
Pesquisadores da Wiz Research e agências internacionais de segurança indicam que as vulnerabilidades permitem a execução remota de código e a leitura de dados sensíveis, como senhas e chaves de API, em servidores desde versões antigas do PHP. A empresa de segurança Cloudflare relatou ter interceptado ondas de ataques e ativado defesas emergenciais, mas ressaltou que a proteção é provisória.
Reação e Medidas de Segurança
O estado de alerta se intensificou após o vazamento de detalhes técnicos das vulnerabilidades na internet antes do prazo oficial, desencadeando uma corrida contra o tempo para mitigar os riscos. Desenvolvedores voluntários do projeto PHP lançaram uma atualização de emergência para corrigir as falhas.
Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis a pedido da Agência Nacional de Cibersegurança francesa. Nos Países Baixos, o serviço nacional de identidade digital DigiD, o site da Câmara dos Representantes e o centro nacional de cibersegurança foram desligados como precaução. O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) recomendou a aplicação imediata das correções ou a desconexão temporária dos servidores.
Atualização Crítica e Próximos Passos
A equipe de desenvolvimento do PHP liberou pacotes de emergência para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Especialistas alertam que a atualização precisa ser aplicada diretamente na infraestrutura do servidor, e não apenas pelo painel de administração, sendo responsabilidade de administradores de servidores e provedores de hospedagem.
A desenvolvedora central da tecnologia, Gina Peter Banyard, enfatizou que a única proteção definitiva é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada. A PHP Foundation, que financia os desenvolvedores, reforçou a imperatividade de atualizar a linguagem imediatamente.
