PHP: Falhas críticas expõem milhões de sites a ataques remotos

Duas vulnerabilidades críticas foram descobertas no PHP, linguagem de programação amplamente utilizada no desenvolvimento web, colocando milhões de sites em alerta. As falhas, que receberam nota 9,2 de 10 em gravidade, permitem que invasores executem comandos remotamente em servidores afetados e roubem dados sensíveis, como senhas e chaves de API.

A possibilidade de execução remota de código (RCE) significa que cibercriminosos podem inserir e executar seus próprios comandos em servidores vulneráveis, alterando páginas web, acessando informações confidenciais ou até mesmo instalando softwares maliciosos. Especialistas já relatam tentativas de exploração ativa e temem uma onda de ataques em massa após a divulgação da correção.

Exposição de sites e sistemas corporativos

A dimensão do problema preocupa especialmente os responsáveis por sites desenvolvidos em plataformas como WordPress, Drupal e Joomla, que dependem de servidores com PHP. Um pesquisador estima que mais de 1,3 milhão de servidores conectados à internet possam estar vulneráveis. Segundo a Wordfence, empresa de segurança, todos os sites da plataforma WordPress estariam expostos, pois dependem de servidores que utilizam PHP. No ano passado, o WordPress informou que sua tecnologia alimentava mais de 40% da internet.

As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, afetam versões do PHP a partir da 5. O risco é maior em instalações que processam requisições web, como PHP-FPM e Apache com mod_php, onde uma requisição não autenticada pode desencadear o ataque antes mesmo da execução de qualquer código da aplicação.

Recomendações e medidas de contenção

Diante da gravidade e da dificuldade de corrigir os sistemas imediatamente, autoridades de cibersegurança da União Europeia e do Reino Unido recomendaram que empresas isolem aplicações acessíveis pela internet ou as retirem temporariamente do ar. Essa orientação visa reduzir a exposição enquanto a atualização não pode ser instalada.

O impacto foi imediato na Europa. Órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais, como portais da previdência, ministérios e agências de cibersegurança, como medida preventiva. A empresa de segurança Cloudflare informou ter interceptado ondas de ataques logo nas primeiras horas do dia, acionando defesas emergenciais em seu firewall.

Gina Peter Banyard, desenvolvedora do PHP, destacou que a correção é a única forma de mitigar a vulnerabilidade. Sem conseguir aplicá-la, desligar os servidores “pode ser a decisão mais sensata”.

Atualização emergencial e próximos passos

A equipe responsável pelo PHP já disponibilizou correções de emergência e pede que os administradores atualizem seus servidores imediatamente. As versões que corrigem as vulnerabilidades são PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. Para versões mais antigas, como PHP 8.1 e anteriores, que não recebem mais atualizações regulares, a recomendação é verificar a disponibilidade de correções com o fornecedor ou migrar para uma versão com suporte.

É crucial notar que atualizar apenas o WordPress, seus temas ou plugins não resolve o problema, pois as vulnerabilidades estão no próprio PHP. A responsabilidade recai sobre os administradores de servidores e provedores de hospedagem, que precisam aplicar as novas versões disponibilizadas. A empresa de segurança Sansec prevê uma onda de ataques em massa poucos minutos após a divulgação da correção, tornando a atualização o mais rápido possível uma prioridade.