---
title: "Falhas críticas no PHP forçam retirada de sites do ar globalmente"
url: https://dailyjournal.news/news/2026-10-23/falha-critica-no-php-causa-retirada-preventiva-de-sites-do-ar-globalmente
published: 2026-10-23T12:45:23.912745+00:00
updated: 2026-10-23T22:02:10.9+00:00
categories: ["technology"]
source_count: 6
outlet_count: 3
language: pt-BR
publisher: "Daily Journal"
---

# Falhas críticas no PHP forçam retirada de sites do ar globalmente

Vulnerabilidades de execução remota de código no PHP levaram governos e empresas a suspender sistemas preventivamente após atrasos na correção das falhas.

## Pontos principais

- O PHP Group lançou atualizações para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir falhas críticas de RCE.
- As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem a execução remota de código sem autenticação.
- A Fundação PHP admitiu que sinais das falhas foram detectados em 2024, mas a correção foi atrasada por falta de recursos.
- Sistemas como o SEI, da Justiça Federal e Anatel, foram restringidos no Brasil como medida de precaução.
- O risco é considerado elevado em instalações como Apache com mod_php, onde o exploit pode ser disparado antes da execução da aplicação.
- Mais de 22 milhões de servidores estão expostos, com um terço operando softwares legados de difícil atualização.
- Governos do Reino Unido e Japão suspenderam serviços digitais para aplicar os patches de segurança.

O PHP Group confirmou a existência de duas vulnerabilidades críticas de execução remota de código (RCE) que afetam as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 da linguagem. Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas permitem que invasores assumam o controle de servidores sem necessidade de autenticação. O risco é particularmente severo em configurações como Apache com mod_php, onde a exploração pode ocorrer antes mesmo do processamento de qualquer código da aplicação, conforme detalhado no comunicado oficial do grupo.

A Fundação PHP admitiu que indícios dessas vulnerabilidades foram identificados originalmente em 2024, mas a implementação de correções definitivas foi postergada devido à complexidade técnica e à escassez de recursos dedicados à manutenção da linguagem. A demora na resposta, somada à ampla utilização do PHP em cerca de 70% dos sites mundiais, gerou uma crise de segurança global. Empresas de tecnologia e pesquisadores, incluindo equipes da Wiz e OpenAI, alertaram que modelos de inteligência artificial têm sido utilizados para identificar e explorar essas brechas em larga escala.

Como resposta imediata, governos e corporações ao redor do mundo retiraram sistemas do ar para realizar manutenções preventivas. No Brasil, órgãos como a Anatel e instâncias da Justiça Federal restringiram o acesso ao Sistema Eletrônico de Informações (SEI) para mitigar riscos de invasão. Agências internacionais, como o FBI e a NSA, recomendaram que organizações desconectem sistemas baseados em PHP caso não consigam aplicar as atualizações de segurança de forma imediata, enquanto a comunidade de desenvolvedores trabalha para estabilizar a infraestrutura afetada.

## Fontes

- [Falhas no PHP: entenda o que tirou sites do ar no Brasil e no mundo por riscos de segurança](https://investnews.com.br/negocios/falhas-no-php-sistemas-fora-ar-brasil/) — InvestNews (2026-10-23)
- [PHP revela nova vulnerabilidade após crise com falha crítica](https://www.estadao.com.br/tecmundo/ciberseguranca/php-revela-nova-vulnerabilidade-apos-crise-com-falha-critica/) (2026-10-23)
- [A falha de segurança no PHP foi apenas o começo: os próximos oito meses serão bem piores, diz Anthropic](https://epocanegocios.globo.com/inteligencia-artificial/noticia/2026/10/a-falha-de-seguranca-no-php-foi-apenas-o-comeco-o-caos-cibernetico-vai-piorar-muito-diz-anthropic.ghtml) (2026-10-23)
- [Japão vai simular ataques hackers com IA após falha no PHP tirar sites do ar em vários países](https://g1.globo.com/tecnologia/ciberseguranca/noticia/2026/10/23/japao-vai-simular-ataques-hackers-com-ia-apos-falha-no-php-tirar-sites-do-ar-em-varios-paises.ghtml) — G1 (2026-10-23)
- [‘Outubro Negro’ da IA: Falhas críticas no PHP desencadeiam corrida global pela segurança](https://timesbrasil.com.br/empresas-e-negocios/tecnologia-e-inovacao/outubro-negro-da-ia-falhas-criticas-no-php-desencadeiam-corrida-global-pela-seguranca/) — Times Brasil (2026-10-23)
- [Brecha no PHP que tirou sites do ar foi descoberta há dois anos; responsável cita falta de recursos para corrigi-la](https://g1.globo.com/tecnologia/ciberseguranca/noticia/2026/10/23/brecha-no-php-que-tirou-sites-do-ar-foi-descoberta-ha-dois-anos-responsavel-cita-falta-de-recursos-para-corrigi-la.ghtml) — G1 (2026-10-23)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-23/falha-critica-no-php-causa-retirada-preventiva-de-sites-do-ar-globalmente