O que é a falha no PHP que ameaça tirar milhares de sites do ar nesta quarta (21)?
Vulnerabilidades críticas permitem invasão remota sem necessidade de senha e levaram governos europeus a tirarem serviços do ar; atualização de emergência está disponível
Duas vulnerabilidades críticas na linguagem PHP colocam mais de 1,3 milhão de servidores e páginas em WordPress sob risco de invasão remota.
Empresas de segurança como a Cloudflare já registraram os primeiros ataques ativos, levando governos da Europa a tirarem serviços públicos do ar por precaução.
A única proteção definitiva é atualizar o ambiente do servidor para as versões PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 junto ao provedor de hospedagem.
Duas falhas críticas de segurança na linguagem de programação PHP colocaram milhões de sites em alerta global nesta quarta-feira (21).
Com nota 9,2 em uma escala de 10 em gravidade, as vulnerabilidades permitem que invasores executem comandos de forma remota, roubem dados e, até mesmo, alterem páginas.
A ameaça fez com que sites governamentais da França, Finlândia e Países Baixos saíssem do ar preventivamente. A equipe do PHP já liberou atualizações emergenciais.
O que é o PHP e por que tantos sites estão ameaçados?
O PHP é uma linguagem de programação que opera nos servidores para processar informações antes de exibir o conteúdo no navegador do usuário.
Ele é responsável por tarefas como atualizar carrinhos de compras em lojas virtuais ou consultar bancos de dados em tempo real.
A dimensão do alerta global ocorre porque a tecnologia está presente em 69,3% de todos os sites com linguagem de servidor conhecida. Além disso, o PHP é a base de plataformas populares de criação e gestão de conteúdo, como Drupal, Joomla e WordPress, que, sozinho, alimenta mais de 43% das páginas da internet.
Pesquisadores estimam que mais de 1,3 milhão de servidores conectados à rede estejam expostos, abrangendo desde pequenos blogs até grandes portais e sistemas governamentais.
Como funcionam as vulnerabilidades descobertas no sistema?
As falhas afetam versões lançadas a partir do PHP 5 e permitem a chamada execução remota de código (RCE, na sigla em inglês), possibilitando que criminosos enviem comandos maliciosos ao servidor sem qualquer autenticação ou login.
O comunicado técnico oficial aponta duas brechas no funcionamento interno da linguagem:
CVE-2026-109618 (Corrupção por esgotamento de memória): ocorre quando o PHP fica sem memória (OOM) ao processar uma requisição e entra em um estado interno inconsistente.
CVE-2026-109619 (Estado global obsoleto): acontece quando informações internas de uma requisição permanecem na memória mesmo após serem liberadas.
De acordo com os desenvolvedores, estão em risco todas as instalações que processam requisições web, incluindo ambientes com PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O perigo é considerado ainda maior no uso do módulo mod_php, no qual uma requisição não autenticada pode disparar o ataque antes mesmo da execução de qualquer código da aplicação.
Quais são os riscos reais e os impactos já registrados?
Com o controle remoto do servidor, invasores conseguem instalar programas maliciosos (malwares), sequestrar bancos de dados, modificar páginas e derrubar serviços inteiros.
A Cloudflare confirmou que as investidas já começaram. Segundo o diretor de tecnologia da companhia, Dane Knecht, regras temporárias de firewall foram aplicadas para conter os primeiros ataques detectados.
Por precaução, diferentes instituições optaram por isolar seus sistemas. Nos Países Baixos, páginas do governo, sistemas de hospitais e serviços do Porto de Roterdã saíram do ar temporariamente.
Serviços públicos na Finlândia e na França, além do fórum de discussões do sistema operacional GrapheneOS, adotaram a mesma estratégia para evitar invasões enquanto aplicam as correções.
Como proteger servidores e atualizar o PHP corretamente?
A recomendação dos desenvolvedores é atualizar os sistemas para as versões corrigidas disponibilizadas nesta quarta-feira (21): PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 ou PHP 8.2.35.
Pela gravidade do cenário, a equipe de segurança também liberou correções mínimas no código-fonte (backports) para as versões antigas 7.4, 8.0 e 8.1, que não recebem mais suporte regular.
A empresa de segurança Wordfence alerta que atualizar apenas o painel do WordPress, seus temas ou plugins não elimina a vulnerabilidade. Como o erro está no próprio PHP, o administrador deve verificar a versão instalada no servidor e providenciar a atualização diretamente junto ao provedor de hospedagem.
Construa sua carreira em tecnologia com formações alinhadas ao mercado
Se você quer ingressar ou crescer no mercado da tecnologia, a Allevo Tech oferece formações práticas em áreas de alta demanda, como Engenharia de Software, Ciência de Dados e Inteligência Artificial.
As trilhas são estruturadas para desenvolver competências técnicas e preparar você para os desafios do mercado de trabalho.
Clique no botão abaixo e conheça as formações da Allevo Tech que podem impulsionar a sua trajetória profissional.
Ver publicações 
