Duas falhas críticas na linguagem PHP — usada por cerca de 70% dos sites do mundo — derrubaram portais de governos, partes da Wikipédia e fóruns nesta quarta-feira (21). A NSA recomendou tirar do ar quem não conseguisse atualizar imediatamente.
As falhas são rastreadas como CVE-2026-109618 e CVE-2026-109619 e receberam nota 9,2 de 10 na escala de severidade. As duas permitem execução remota de código sem autenticação: na prática, um atacante consegue rodar comandos no servidor pela internet, sem senha e sem conta de acesso.
O problema está no próprio PHP, não em um site, plugin ou aplicação específica. Isso significa que atualizar o WordPress, o Drupal ou o sistema da empresa não resolve — é a linguagem que precisa ser corrigida. A faixa afetada vai do PHP 5.4 até a linha atual do PHP 8.
Descobertas com ajuda de IA
As duas vulnerabilidades foram encontradas por pesquisadores usando modelos de inteligência artificial. A empresa Calif, em trabalho com a OpenAI, reportou a primeira em 11 de agosto; a Wiz, empresa de segurança da Alphabet, reportou a segunda em 24 de agosto.
Segundo a Wiz, os defeitos estão no código há mais de uma década e provar que eram exploráveis exigia “uma cadeia de etapas no limite do que pesquisadores humanos conseguiriam fazer na prática”. A empresa classificou o achado como um dos mais graves já vistos em PHP — e, possivelmente, na história do software.
Quem ficou fora do ar
Na Holanda, caíram o portal do cidadão MijnOverheid, o sistema nacional de identidade digital DigiD e o site da Câmara. Na Alemanha, o ministério da Transformação Digital tirou sites do ar por precaução. Na França, o Ministério do Interior desativou os portais das administrações locais. Bélgica, Finlândia, República Tcheca, Reino Unido e Austrália também registraram desligamentos preventivos.
Do lado privado, partes da Wikipédia saíram do ar, assim como os fóruns 4chan e Something Awful, o serviço de favoritos Pinboard e o DeviantArt. Até a primeira-ministra do Japão, Sanae Takaichi, usou as redes para alertar sobre o risco.
Correção só para parte das versões
A Fundação PHP publicou patches emergenciais nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para versões mais antigas, sem suporte, não há correção simples — a recomendação é atualizar a versão ou isolar o sistema.
A NSA afirmou que as falhas “costumam dar um caminho direto para o sistema de arquivos ou o banco de dados do servidor”. A CISA, o FBI, o centro de segurança cibernética do Reino Unido e o CERT-EU emitiram avisos no mesmo sentido.
O alerta veio depois de a informação vazar antes da data prevista. A Amazon Web Services registrou tentativas de exploração em honeypots desde 17 de outubro, quatro dias antes da divulgação pública, e afirmou que as falhas já estão sendo amplamente exploradas. A Cloudflare relatou ataques iniciais e disse estar atualizando as mitigações.
A comparação imediata no mercado foi com Log4Shell, em 2021, e com o Heartbleed. A diferença, desta vez, é a velocidade: com modelos de IA, transformar o achado em ataque funcional deixou de levar semanas.
Fontes: Metrópoles, Al Jazeera, PCMag
