O que é PHP e por que falhas de segurança afetaram sites no mundo todo?

Empresas e agências governamentais ao redor do mundo suspenderam temporariamente sites e serviços digitais na última quarta-feira (21/10), após vir à tona falhas críticas de segurança na linguagem de programação PHP. Essas ações foram tomadas porque as vulnerabilidades descobertas podem permitir que invasores executem códigos nos servidores afetados sem precisar de autenticação.

A gravidade do caso e o alcance da tecnologia levaram autoridades a recomendar atualizações urgentes e, em alguns casos, a desconexão dos sistemas vulneráveis. Os problemas já haviam sido identificados com auxílio de inteligência artificial (IA) por pesquisadores da Calif, da OpenAI e da Wiz. Porém, as informações sobre as falhas foram vazadas antes da divulgação oficial, o que acelerou a resposta das equipes de segurança que precisaram antecipar as medidas de proteção.

O que é PHP e por que ele é tão importante para a internet?

O PHP é uma linguagem de programação de código aberto (open source) utilizada para desenvolver sites e aplicações na web. Ela permite que servidores processem informações, interajam com bancos de dados e apresentem conteúdo dinâmico aos usuários.

A tecnologia está presente em plataformas populares, como WordPress, Drupal e Joomla, utilizadas para criar e administrar sites de diferentes portes. Segundo a empresa de segurança Wiz, o PHP está presente em cerca de 70% dos sites do mundo. Entre essas páginas, estão desde portais de notícias até lojas virtuais. Ou seja, até quem nunca ouviu falar de PHP, já interagiu com ele ao navegar na internet.

Essa ampla adoção dessa linguagem de programação ajuda a explicar a dimensão do alerta. Como as falhas estavam no núcleo da própria linguagem, o risco não se limitava a uma plataforma específica. Diferentes sites e serviços online poderiam ficar expostos, mesmo que seus próprios códigos não apresentassem problemas.

Como a inteligência artificial identificou as vulnerabilidades?

As investigações envolveram diferentes equipes que encontraram falhas de forma independente. Em agosto, a empresa de segurança Calif identificou uma vulnerabilidade crítica com auxílio do modelo GPT-5.6 Sol, da OpenAI. A própria OpenAI reportou um problema com a mesma causa naquele dia, enquanto a Wiz identificou outras formas de explorar as vulnerabilidades posteriormente.

A descoberta integrou o programa Patch the Planet, iniciativa que reuniu pesquisadores, desenvolvedores do PHP e empresas de tecnologia para investigar os problemas, desenvolver correções e preparar proteções antes da divulgação pública.

A OpenAI destacou a relevância desse trabalho ao afirmar que a descoberta “mostra como a IA pode descobrir falhas de segurança com impacto em toda a internet”. A empresa também alertou que as mesmas capacidades podem ajudar invasores a desenvolver ferramentas ofensivas com maior rapidez. A Wiz ainda destacou que as falhas “estão entre as vulnerabilidades mais graves já encontradas no PHP e, possivelmente, na história do software”.  

O caso demonstra como a IA pode contribuir tanto para encontrar problemas que passaram despercebidos durante anos quanto para aumentar a capacidade de exploração dessas falhas. Por isso, a coordenação entre pesquisadores e responsáveis pelos softwares foi fundamental para preparar as correções.

O que é PHP2Shell e quais são os riscos das falhas?

As vulnerabilidades ficaram conhecidas como PHP2Shell e receberam os identificadores CVE-2026-109618 e CVE-2026-109619. Ambas foram classificadas como críticas, com pontuação CVSS de 9,2 em uma escala que vai até 10.

De forma simplificada, os problemas estão relacionados à maneira como o PHP administra a memória durante o processamento de requisições e o tratamento de erros. Em determinadas condições, informações internas podem permanecer em um estado inconsistente e ser utilizadas de forma indevida em operações posteriores.

A exploração pode permitir a execução remota de código sem autenticação, o que significa que um invasor pode enviar requisições especialmente preparadas para tentar executar comandos no servidor, sem precisar entrar previamente com usuário e senha. As falhas também podem expor dados sensíveis armazenados temporariamente na memória, como credenciais e tokens de autenticação.

Dependendo do sistema comprometido, as consequências podem incluir roubo de informações, alteração de páginas, interrupção de serviços e comprometimento do servidor. A Wiz demonstrou possibilidades de exploração em aplicações conhecidas, mas ressaltou que a origem do problema está no próprio PHP, e não exclusivamente nessas plataformas.

Por que empresas e governos tiraram os sites do ar?

A divulgação das vulnerabilidades provocou uma reação no mundo todo. Organizações, como a BBC e a Wikimedia (organização responsável pela Wikipédia), suspenderam páginas e serviços preventivamente para reduzir a exposição enquanto verificavam os sistemas e preparavam as atualizações. Órgãos governamentais dos Estados Unidos, França, Países Baixos, Finlândia e Escócia tomaram as mesmas medidas.

No Brasil, a Anatel e tribunais federais estiveram entre as instituições que suspenderam sistemas em resposta ao alerta. A situação evidenciou como uma falha em uma tecnologia compartilhada pode afetar serviços públicos e operações digitais de diferentes setores.

A Agência de Segurança Nacional dos Estados Unidos (NSA) também recomendou que organizações aplicassem as correções imediatamente ou desconectassem os sistemas vulneráveis. Segundo o alerta divulgado pela agência, as falhas poderiam abrir caminho para o acesso ao sistema de arquivos ou ao banco de dados.

A suspensão preventiva não significa necessariamente que todos os sites afetados tenham sido invadidos. Em situações desse tipo, retirar um serviço do ar pode ser uma medida para diminuir os riscos até que a equipe responsável confirme a segurança dos sistemas.

Como o vazamento antecipado aumentou a urgência?

A divulgação coordenada estava prevista para 22 de outubro, mas os identificadores das vulnerabilidades começaram a circular em fóruns e redes sociais no dia 20. A PHP Foundation informou que as primeiras informações vazadas incluíam dados incorretos sobre o horário de divulgação e a pontuação de gravidade. Após o vazamento, detalhes adicionais e demonstrações técnicas também circularam na internet. Com isso, os desenvolvedores do PHP anteciparam o anúncio e publicaram as correções um dia antes do cronograma inicial.

Quais são as recomendações para corrigir as falhas?

Em 21 de outubro, a equipe responsável pelo PHP disponibilizou as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A orientação é que administradores identifiquem a versão instalada e a atualizem de acordo com as recomendações oficiais. Quem utiliza hospedagem gerenciada deve verificar com o provedor se a correção foi aplicada.

A PHP Foundation foi direta em seu alerta: “Se você usa PHP, é imperativo atualizá-lo imediatamente”. A entidade também reconheceu a necessidade de fortalecer os processos de segurança e ampliar os recursos destinados à manutenção da linguagem. As proteções oferecidas por ferramentas de segurança e firewalls podem ajudar a reduzir a exposição durante a atualização, mas não eliminam a vulnerabilidade na origem. Portanto, a correção do software é a principal medida recomendada.

A Plataformanet é uma agência de marketing digital que traz toda semana informações sobre o mundo da tecnologia, entre outras dicas de serviços e aplicativos. Continue acessando o nosso caderno de tecnologia e acompanhe as novidades.