Duas vulnerabilidades críticas foram identificadas no PHP, linguagem de programação utilizada por grande parte dos sites e sistemas disponíveis na internet. As falhas permitem que criminosos executem comandos remotamente em servidores vulneráveis, mesmo sem autenticação.
O alerta foi divulgado nesta quarta-feira (21) e provocou uma mobilização internacional para atualizar os sistemas. Sites governamentais, educacionais e de saúde de diferentes países europeus foram retirados temporariamente do ar como medida preventiva.
As vulnerabilidades foram registradas como CVE-2026-109618 e CVE-2026-109619. As duas receberam pontuação 9,2 em uma escala de gravidade que vai até 10, sendo classificadas como críticas.
Caso consiga explorar uma das falhas, o invasor poderá executar códigos maliciosos, alterar páginas, instalar programas, acessar bancos de dados e roubar informações armazenadas nos servidores.
O risco é ampliado pela presença do PHP em plataformas populares, como WordPress, Drupal e sistemas de comércio eletrônico. A linguagem opera nos bastidores dos sites, processando informações no servidor antes que o conteúdo seja exibido ao usuário.
As vulnerabilidades foram descobertas com o auxílio de ferramentas de inteligência artificial utilizadas por uma equipe formada por pesquisadores e empresas de segurança digital. A análise permitiu identificar falhas antigas que ainda poderiam ser exploradas em sistemas atuais.
Os desenvolvedores do PHP lançaram atualizações emergenciais para as versões 8.2, 8.3 e 8.4. O grupo informou que não existem medidas alternativas capazes de eliminar completamente o risco e orientou todos os administradores a realizarem a atualização imediatamente.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos também emitiu um alerta. A recomendação é retirar temporariamente do ar os serviços que não puderem receber a correção de forma imediata.
Portais públicos de países como Holanda, França, Dinamarca e Finlândia ficaram indisponíveis enquanto as equipes responsáveis realizavam os procedimentos de segurança. Alguns serviços foram restabelecidos após a instalação das atualizações.
Empresas de cibersegurança identificaram tentativas de exploração depois que as vulnerabilidades se tornaram públicas. Provedores de hospedagem e serviços de proteção digital também adotaram novas regras para bloquear possíveis ataques.
A falha não está diretamente nos celulares ou computadores utilizados para acessar as páginas. O problema afeta os servidores que executam versões vulneráveis do PHP, cabendo aos administradores dos sites e às empresas de hospedagem instalar a correção.
A orientação para responsáveis por sites é confirmar com o provedor de hospedagem se a versão utilizada já foi atualizada. Sistemas antigos que não recebem mais suporte devem ser substituídos, pois podem permanecer expostos a falhas sem correção.
