Duas falhas críticas de segurança na linguagem PHP, amplamente utilizada para construir sites e aplicações, provocaram uma mobilização internacional nesta quarta-feira (21). As vulnerabilidades podem permitir execução remota de código em servidores afetados, levando órgãos públicos e empresas a atualizar sistemas ou retirar temporariamente serviços da internet.
Os problemas foram identificados como CVE-2026-109618 e CVE-2026-109619. Pesquisadores ligados à iniciativa Patch the Planet da OpenAI e à empresa de segurança Wiz participaram da descoberta e da coordenação das correções com os mantenedores do PHP. A divulgação ocorreu após preparação conjunta de proteções.
Servidores podem ser invadidos
O PHP está presente em uma parcela expressiva da web, inclusive em sistemas de publicação, plataformas comerciais e aplicações institucionais. Isso amplia o alcance potencial de defeitos na própria linguagem, embora nem todo site que a utiliza esteja necessariamente vulnerável nas mesmas condições.
As falhas podem abrir caminho para a execução de comandos sem autenticação em instalações afetadas. Dependendo das permissões do servidor, invasores poderiam ter acesso a dados, alterar arquivos e comprometer aplicações hospedadas.
O risco está relacionado ao software executado no servidor, não diretamente ao navegador do visitante. Por isso, as medidas de correção dependem principalmente de administradores, provedores de hospedagem e equipes de tecnologia responsáveis pelas instalações.
O problema mobilizou organizações porque versões antigas do PHP ainda são utilizadas em sistemas que não recebem atualizações regulares. A correção pode exigir mudança de versão, testes de compatibilidade e revisão de aplicações dependentes.
Inteligência artificial ajudou descoberta
Segundo comunicado da OpenAI, pesquisadores da Calif identificaram uma falha crítica com auxílio de um modelo de IA, enquanto a Wiz descobriu e comunicou independentemente as duas vulnerabilidades. Os mantenedores do PHP lideraram o trabalho técnico de reparação.
O processo de coordenação levou cerca de dois meses e reuniu pesquisadores, empresas de infraestrutura e equipes responsáveis pelo software. O objetivo era disponibilizar correções e proteções antes que as informações técnicas fossem exploradas em larga escala.
A gravidade das falhas demonstra tanto a capacidade da IA para antecipar problemas quanto a necessidade de preparar defensores para reagir rapidamente. A iniciativa busca organizar a comunicação entre quem descobre vulnerabilidades e quem precisa corrigi-las.
Após a divulgação pública, fornecedores de segurança passaram a reforçar regras de filtragem e monitoramento de ataques. A Cloudflare informou ter preparado proteções para o tráfego de sites e já observar tentativas relacionadas às falhas.
Órgãos recomendam medidas urgentes
O FBI e a agência americana NSA recomendaram atualizar imediatamente instalações de PHP expostas à internet. Quando não for possível instalar a correção, a orientação inclui retirar temporariamente do ar sistemas vulneráveis até que medidas eficazes possam ser aplicadas.
A equipe de resposta cibernética da União Europeia também divulgou alertas. Serviços governamentais na Europa foram suspensos preventivamente, enquanto responsáveis técnicos verificavam a presença das versões afetadas.
Administradores devem identificar onde o PHP é utilizado, inclusive em componentes incluídos por fornecedores externos. Manter inventário de versões e acompanhar registros dos servidores permite verificar sinais suspeitos, como execução inesperada de comandos.
Em caso de invasão, a resposta deve incluir isolamento do ambiente e preservação de evidências técnicas. Atualizar o software é indispensável, mas não substitui a investigação de possíveis acessos já realizados por terceiros.
O que fazer para se proteger
Para empresas e responsáveis por sites, a recomendação principal é consultar os comunicados oficiais do PHP e do provedor de hospedagem e instalar as versões corrigidas indicadas para cada ambiente. Sites que utilizam WordPress dependem também da versão do PHP disponibilizada no servidor.
Atualizações devem ser acompanhadas de cópias de segurança e testes das aplicações. Regras de firewall podem reduzir determinados ataques, mas não substituem uma correção permanente da vulnerabilidade na linguagem.
Usuários comuns não conseguem corrigir o servidor de um site que visitam. É recomendável evitar o envio de informações sensíveis a serviços instáveis ou que comuniquem incidentes de segurança até que os responsáveis esclareçam a situação.
Os mantenedores do PHP já disponibilizaram correções para versões com suporte, e as organizações receberam orientações para priorizar instalações expostas à internet durante a atualização.