Falhas críticas no PHP levam sites globais ao ar; IA auxiliou na descoberta

Duas falhas críticas de segurança na linguagem de programação PHP (Hypertext Preprocessor), amplamente utilizada na internet, levaram agências governamentais e empresas em diversos países a tirar seus sites do ar ou aplicar correções emergenciais nesta quarta-feira (21). As vulnerabilidades, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, permitem que hackers assumam o controle de servidores sem a necessidade de senhas, apenas enviando requisições maliciosas. A descoberta foi auxiliada por inteligência artificial, segundo a OpenAI e a Wiz Research.

A Agência de Segurança Nacional dos Estados Unidos (NSA) emitiu um alerta pedindo a correção imediata das falhas ou o desligamento dos sistemas afetados. Segundo a agência, as vulnerabilidades "frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor". A descoberta ocorre em um momento de crescente preocupação com a segurança de software, impulsionada pelo avanço da inteligência artificial.

Vulnerabilidades e Impacto Amplo

As falhas afetam gerenciadores de conteúdo populares como WordPress, Drupal, Joomla e Magento, pois estão na base da própria linguagem PHP, e não em plugins ou aplicações isoladas. Isso significa que qualquer sistema que utilize versões vulneráveis do PHP pode estar exposto, independentemente do software instalado sobre ele. Pesquisadores da Wiz Research e agências internacionais de segurança indicam que as vulnerabilidades permitem a execução remota de código e a leitura de dados sensíveis, como senhas e chaves de API, em servidores desde versões antigas do PHP.

A empresa de segurança Cloudflare relatou ter interceptado ondas de ataques e ativado defesas emergenciais, mas ressaltou que a proteção é provisória. A Forbes destacou que a inteligência artificial está se tornando cada vez mais hábil em encontrar falhas de segurança, especialmente em softwares de código aberto como o PHP, mas também em lançar ataques cibernéticos.

Reação e Medidas de Segurança

O estado de alerta se intensificou após o vazamento de detalhes técnicos das vulnerabilidades na internet antes do prazo oficial, desencadeando uma corrida contra o tempo para mitigar os riscos. Desenvolvedores voluntários do projeto PHP lançaram uma atualização de emergência para corrigir as falhas.

Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis a pedido da Agência Nacional de Cibersegurança francesa. Nos Países Baixos, o serviço nacional de identidade digital DigiD, o site da Câmara dos Representantes e o centro nacional de cibersegurança foram desligados como precaução. O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) recomendou a aplicação imediata das correções ou a desconexão temporária dos servidores.

Atualização Crítica e Próximos Passos

A equipe de desenvolvimento do PHP liberou pacotes de emergência para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Especialistas alertam que a atualização precisa ser aplicada diretamente na infraestrutura do servidor, e não apenas pelo painel de administração, sendo responsabilidade de administradores de servidores e provedores de hospedagem.

A desenvolvedora central da tecnologia, Gina Peter Banyard, enfatizou que a única proteção definitiva é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada. A PHP Foundation, que financia os desenvolvedores, reforçou a imperatividade de atualizar a linguagem imediatamente. Greg Brockman, cofundador da OpenAI, acredita que estamos entrando em uma nova fase da segurança cibernética, onde modelos de IA encontram vulnerabilidades com impacto em escala de internet.