O governo brasileiro recomendou a atualização imediata de sistemas que utilizam PHP após identificar duas vulnerabilidades críticas, com potencial para permitir invasões remotas sem autenticação. As falhas receberam nota 9,2 em uma escala de 10.
Em resumo:
Veja mais informações a seguir!
Quer ser um especialista em tecnologia? Conheça a Allevo Tech!
O governo brasileiro se manifestou sobre a vulnerabilidade PHP que colocou sites e serviços digitais em alerta internacional.
Em recomendação técnica publicada em 21 de outubro de 2026, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), ligado ao Gabinete de Segurança Institucional (GSI), orientou organizações a atualizarem imediatamente os sistemas afetados.
O comunicado trata de duas falhas críticas, identificadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam pontuação 9,2 no sistema de avaliação de gravidade de vulnerabilidades, o CVSS.
Segundo o órgão, os problemas podem permitir a execução remota de código (RCE, na sigla em inglês) sem autenticação. Na prática, isso significa que um invasor pode conseguir executar comandos em um servidor vulnerável sem precisar apresentar credenciais de acesso.
A recomendação brasileira acompanha o alerta emitido por autoridades internacionais e pela equipe responsável pelo desenvolvimento do PHP, que disponibilizou atualizações de segurança para corrigir os problemas.
+ O que é a falha no PHP que ameaça tirar milhares de sites do ar nesta quarta (21)?
O PHP é uma linguagem de programação executada principalmente nos servidores. Ela permite processar informações, acessar bancos de dados e gerar páginas dinâmicas, sendo utilizada em sites institucionais, lojas virtuais, portais de notícias e sistemas corporativos.
A tecnologia também está presente em plataformas de gerenciamento de conteúdo, como WordPress, Drupal e Joomla. Por isso, uma falha no ambiente de execução do PHP pode afetar diferentes tipos de aplicações que dependem dessa linguagem.
Segundo a matéria publicada anteriormente pela Revista Quero, pesquisadores estimaram que mais de 1,3 milhão de servidores poderiam estar expostos às vulnerabilidades. O número indica a dimensão potencial do problema, mas não significa que todos esses servidores tenham sido invadidos.
O risco não se limita à indisponibilidade de um site. Dependendo das condições de exploração e das permissões do servidor, um ataque pode comprometer informações, modificar páginas, instalar programas maliciosos e afetar outros serviços conectados.
As falhas receberam os identificadores CVE-2026-109618 e CVE-2026-109619. Ambas estão relacionadas ao gerenciamento de memória e ao estado interno mantido pelo PHP durante o processamento de requisições.
Essas condições podem abrir caminho para a execução remota de código, conhecida pela sigla RCE, em ambientes vulneráveis. A gravidade atribuída às duas falhas é de 9,2 em uma escala de 10, conforme os alertas técnicos publicados.
O problema está no próprio ambiente de execução da linguagem, e não necessariamente no código de um site específico. Isso explica por que aplicações diferentes podem estar expostas ao mesmo tipo de risco.
De acordo com o alerta do CTIR Gov, o risco abrange instalações do PHP que processam requisições pela web, incluindo ambientes que utilizam:
mod_php;php-cgi;O órgão destaca que o risco é particularmente elevado em ambientes com mod_php, nos quais foi demonstrada a possibilidade de exploração por uma requisição não autenticada antes mesmo da execução do código da aplicação.
Isso não significa que todos os sites que utilizam PHP estejam automaticamente comprometidos. A exposição depende da versão instalada, da configuração do servidor e das medidas de segurança aplicadas.
Também é importante distinguir a vulnerabilidade do PHP de eventuais falhas em sistemas de gerenciamento de conteúdo. Um site que utiliza WordPress, por exemplo, pode manter temas e plugins atualizados e continuar exposto caso o ambiente PHP do servidor não tenha recebido a correção necessária.
A principal medida recomendada é instalar uma versão corrigida do PHP. O alerta do governo brasileiro orienta as organizações a identificar os sistemas afetados e priorizar a atualização de segurança.
As versões com correções indicadas no comunicado são:
| Série do PHP | Versão corrigida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Fonte: comunicado de segurança do PHP e recomendação do CTIR Gov.
Administradores de sites e equipes de tecnologia devem tomar as seguintes providências:
A atualização do painel administrativo, dos temas e dos plugins de um site não substitui a correção do PHP. É necessário verificar o ambiente em que a aplicação é executada.
Além disso, versões antigas que já não recebem suporte de segurança podem exigir uma migração para uma série mantida e compatível com a aplicação. A escolha deve considerar os requisitos do sistema e a disponibilidade de correções oficiais.
A manifestação do governo brasileiro reforça que a vulnerabilidade PHP deve ser tratada como uma questão de segurança da infraestrutura digital. Empresas, instituições públicas e organizações que mantêm sites ou aplicações nessa linguagem precisam verificar a exposição e agir de acordo com a gravidade do alerta.
Para os usuários, a existência das falhas não significa que todos os sites estejam comprometidos ou que seja necessário deixar de utilizar serviços que funcionam com PHP. O risco está relacionado aos ambientes vulneráveis que ainda não receberam as correções necessárias.
Já para as equipes de tecnologia, a prioridade é identificar os sistemas afetados, aplicar as atualizações e verificar se houve sinais de exploração.
A recomendação oficial brasileira pode ser consultada na página do CTIR Gov sobre as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. O aviso técnico também está disponível no comunicado oficial do projeto PHP.
A correção do ambiente de execução é a principal medida para eliminar as vulnerabilidades conhecidas. Quando a atualização imediata não for possível, o isolamento temporário dos sistemas expostos pode reduzir o risco até que a correção seja implementada.
Se você quer ingressar ou crescer no mercado da tecnologia, a Allevo Tech oferece formações práticas em áreas de alta demanda, como Engenharia de Software, Ciência de Dados e Inteligência Artificial.
As trilhas são estruturadas para desenvolver competências técnicas e preparar você para os desafios do mercado de trabalho.
Clique no botão abaixo e conheça as formações da Allevo Tech que podem impulsionar a sua trajetória profissional.
O governo brasileiro recomendou a atualização imediata de sistemas que utilizam PHP após identificar duas vulnerabilidades críticas, com potencial para permitir invasões remotas sem autenticação. As falhas receberam nota 9,2 em uma escala de 10.
Decisão ocorre dois meses após a venda da Electronic Arts por US$ 55 bilhões e encerra a história de mais de 30 anos do estúdio
Enquanto a versão anterior focou no visual Liquid Glass, o novo sistema da Apple aposta em uma Siri reformulada com inteligência artificial