Duas falhas críticas de segurança no PHP (Hypertext Preprocessor), linguagem de programação presente na base de milhões de sites e sistemas corporativos ao redor do mundo, forçaram governos e empresas a tirar portais do ar nesta quarta-feira (21). As vulnerabilidades afetam gerenciadores de conteúdo amplamente utilizados, como WordPress, Drupal, Joomla e Magento.
O problema tem escala ampla porque as falhas estão na base da própria linguagem, e não em um plugin ou aplicação isolada. Isso significa que qualquer sistema rodando versões vulneráveis do PHP pode estar exposto, independentemente do que esteja instalado sobre ele.
Execução remota sem senha
As vulnerabilidades foram identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619 e receberam classificação crítica. Segundo pesquisadores da Wiz Research e agências internacionais de segurança, as duas falhas permitem que invasores executem código remotamente em servidores sem qualquer tipo de autenticação. Um atacante consegue assumir o controle total de uma máquina apenas enviando requisições maliciosas, sem precisar de senha ou credencial.
A Wiz Research afirma que versões do sistema desde o PHP 5 carregam o risco, permitindo que invasores leiam dados sensíveis armazenados na memória dos servidores, como senhas, tokens de acesso e chaves de interface de programação de aplicações (API). A empresa ressaltou que “até mesmo um aplicativo simples em uma versão vulnerável do PHP pode ser explorado” e que a exploração pode acontecer “contra imagens de contêineres do WordPress, Drupal e Joomla”.
Leia também: CrowdStrike lista 8 práticas de segurança em IA que empresas devem evitar
Vazamento acelerou os ataques
O estado de alerta se intensificou após informações detalhadas sobre as vulnerabilidades vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores do PHP. Com os detalhes técnicos expostos, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, o que levou autoridades e corporações a adotarem medidas de contenção imediatas.
O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu alerta severo recomendando a aplicação imediata das correções disponíveis ou, quando isso não fosse possível, a desconexão temporária dos servidores expostos à internet.
Seguindo as orientações do CERT-EU, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais. Na Holanda, saíram do ar portais da previdência, de ministérios, a agência nacional de cibersegurança e sites de partidos políticos. Na Finlândia, o provedor estatal de serviços de tecnologia da informação (TI) isolou redes públicas para conter os riscos.
A Cloudflare afirma ter interceptado ondas de ataques nas primeiras horas desta quarta-feira (21) e acionou defesas emergenciais no firewall para proteger seus clientes. O diretor de tecnologia da Cloudflare, Dane Knecht, deixa claro, porém, que a proteção é provisória: “Estamos vendo ataques iniciais surgindo e atualizamos as mitigações conforme novos vetores aparecem. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção”.
Atualização de servidor, não de painel
A empresa de segurança Patchstack e especialistas da Wordfence alertam que atualizar os sites pelo painel de administração não resolve o problema. A correção precisa ser aplicada diretamente na infraestrutura do servidor, e a responsabilidade recai sobre administradores de servidores e provedores de hospedagem.
A equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A desenvolvedora central da tecnologia, Gina Peter Banyard, enfatiza que não existem soluções paliativas totalmente seguras; a única proteção definitiva é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!