Falhas críticas no PHP forçam governos e empresas a suspenderem sites

Duas vulnerabilidades críticas na linguagem de programação PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, geraram um alerta de segurança global nesta semana. Segundo o PHP Group, as falhas permitem a execução remota de código sem a necessidade de autenticação, colocando em risco servidores que utilizam a linguagem, que sustenta cerca de 69,3% dos sites da internet. O grupo de desenvolvedores disponibilizou quatro versões corrigidas — 8.2.35, 8.3.36, 8.4.27 e 8.5.12 — e recomendou a atualização imediata de todos os sistemas afetados.

A descoberta das brechas foi facilitada pelo uso de ferramentas de inteligência artificial, que identificaram vulnerabilidades existentes há mais de uma década. Diante do risco de invasão, organizações como a Wikimedia, a BBC e governos de diversos países, incluindo Finlândia e Países Baixos, optaram por retirar temporariamente seus sites do ar. A NSA, agência de segurança dos Estados Unidos, emitiu um comunicado orientando empresas a inventariarem seus serviços e isolarem ou desativarem qualquer sistema que não possa ser corrigido prontamente.

O cenário de risco foi agravado pelo registro de milhões de tentativas de exploração por parte de agentes maliciosos, conforme reportado por empresas de cibersegurança como a Cloudflare e a Amazon, que detectaram ataques antes mesmo da divulgação oficial das correções. Especialistas da Sophos alertam que a complexidade de sistemas legados pode dificultar a implementação das atualizações, tornando o isolamento de rede uma medida necessária para evitar o roubo de dados confidenciais e o controle indevido de infraestruturas críticas. O PHP Group reforçou que o risco é particularmente alto em configurações como o mod_php, onde o exploit pode ser executado antes mesmo do processamento de qualquer código da aplicação.