Sites de governos da Holanda, da Finlândia e de outros países saíram do ar nesta quarta-feira (21) por precaução, depois que desenvolvedores do PHP revelaram duas vulnerabilidades críticas que afetam a linguagem usada por boa parte dos sites da internet.
Os desenvolvedores do PHP identificaram as falhas na terça-feira (20) e recomendaram atualização assim que a correção fosse lançada. Por volta das 10h45 de Brasília desta quarta, uma nova versão corrigida já estava disponível.
As duas falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 em gravidade. Permitem execução remota de código, sem necessidade de senha ou conta cadastrada no servidor.
O PHP está em toda parte. Ele opera discretamente sites em WordPress, Drupal, Joomla e Magento, plataformas de hospedagem compartilhada, painéis de controle e uma enorme quantidade de softwares que nem sequer informa que usa PHP nos bastidores.
A avaliação é da empresa de segurança Huntress. Segundo a W3Techs, 69,3% dos sites cuja linguagem de servidor é conhecida usam PHP, e o WordPress está em mais de 43% das páginas da internet.
A Cloudflare, que já havia destacado o Brasil como centro estratégico de cibersegurança, passou a atualizar regras de firewall assim que os primeiros ataques começaram a surgir.
Segundo Dane Knecht, diretor de tecnologia da empresa, a medida é provisória: "aplique a correção assim que o PHP lançar a atualização", escreveu ele no X. A recomendação vale também para quem já aplicou um firewall provisório.
Publicidade
A falha mora na própria base da internet, não em um site específico, e é por isso que o risco se espalha tão rápido. Órgãos de segurança da Europa, Austrália, Japão e Reino Unido recomendaram atualização imediata.
O que fazer para se proteger?
Quem administra um site em PHP precisa agir rápido. A correção já existe, mas depende de cada servidor aplicá-la, não do site em si — mesmo sites bem cuidados podem estar vulneráveis.
- Atualize o PHP para as versões corrigidas 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, segundo o comunicado oficial do projeto.
- Confira se o site usa uma versão anterior ao PHP 8.1, que não recebe mais atualizações regulares e também pode estar vulnerável.
- Não confie só na atualização automática do WordPress: ela não corrige a versão do PHP no servidor, segundo a Wordfence.
- Descubra quem é responsável por atualizar o PHP na hospedagem do site e peça a atualização imediata.
O que acontece agora
Ainda não há confirmação de ataques em massa que tenham comprometido milhões de sites, segundo a Cloudflare, mas a corrida por atualizar servidores segue nesta quarta-feira.
Não é a primeira vez que uma falha de software vira porta de entrada para dano real: em outubro, hackers já tinham explorado vulnerabilidades de geladeiras conectadas para provocar incêndios na França.
Em junho, um vazamento de 24 bilhões de senhas já tinha gerado alerta global sobre segurança digital — a fragilidade da internet aparece de formas diferentes, com a mesma raiz.
