Duas falhas críticas de segurança na linguagem de programação PHP provocaram a suspensão preventiva de sites e serviços digitais em diferentes países, incluindo o Brasil. As vulnerabilidades, divulgadas na quarta-feira (21), podem permitir que invasores executem comandos em servidores sem precisar de autenticação. Nesta quinta-feira (22), autoridades de segurança cibernética reforçaram o alerta para atualização imediata dos sistemas.
Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas receberam classificação de gravidade 9,2 em uma escala de 10. O problema afeta o PHP, tecnologia utilizada por milhões de sites e aplicações, incluindo plataformas desenvolvidas com WordPress, Drupal e Joomla.
Serviços públicos são retirados do ar
Na Europa, órgãos governamentais adotaram medidas preventivas para reduzir o risco de ataques. Holanda e Finlândia estão entre os países que registraram a suspensão temporária de serviços digitais.
No Brasil, a Agência Nacional de Telecomunicações (Anatel) retirou temporariamente do ar o Sistema Eletrônico de Informações (SEI). Tribunais federais, incluindo o TRF1 e o TRF6, também registraram interrupções e instabilidades em sistemas.
As suspensões foram adotadas como medidas de segurança e não significam, necessariamente, que os órgãos tenham sofrido invasões.
Falhas podem permitir controle de servidores
As vulnerabilidades, conhecidas como PHP2Shell, estão relacionadas ao gerenciamento de memória do PHP.
Em determinadas condições, invasores podem explorar as falhas para executar códigos maliciosos, acessar informações armazenadas e comprometer o funcionamento de servidores.
Segundo a empresa de segurança Wiz, as vulnerabilidades foram identificadas com auxílio de ferramentas de inteligência artificial.
A Amazon informou ter detectado uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação pública das falhas.
Desenvolvedores recomendam atualização imediata
A equipe responsável pelo PHP disponibilizou versões corrigidas na quarta-feira (21). As atualizações recomendadas são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Versões 8.1 e anteriores não recebem mais correções diretamente do projeto PHP. Administradores que utilizam essas versões devem migrar para uma edição suportada ou verificar a disponibilidade de correções fornecidas pelo distribuidor do sistema.
A Cloudflare informou que implementou proteções em seu firewall para reduzir o risco de exploração. Entretanto, a empresa e os desenvolvedores do PHP destacam que a atualização do software continua sendo necessária, mesmo quando há mecanismos adicionais de segurança.