Duas vulnerabilidades de alta gravidade permitem ataques remotos sem necessidade de senha. Correções já estão disponíveis, mas servidores desatualizados continuam expostos.
Uma ameaça de grandes proporções atingiu a infraestrutura digital mundial. Duas falhas críticas identificadas na linguagem de programação PHP, utilizada por milhões de sites, sistemas empresariais e plataformas de notícias, colocaram organizações públicas e privadas em estado de alerta nesta quinta-feira (22).
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam pontuação de gravidade 9,2 em uma escala de até 10. O problema permite, em determinadas condições, que criminosos executem comandos maliciosos remotamente, sem precisar de credenciais de acesso.
O alerta ganhou dimensão internacional após a divulgação das falhas e o lançamento emergencial de atualizações, na quarta-feira (21). A preocupação está concentrada principalmente nos servidores conectados à internet que ainda não receberam as correções.
O episódio expõe uma fragilidade importante da internet: uma falha em um componente utilizado por milhões de aplicações pode transformar servidores aparentemente protegidos em possíveis portas de entrada para ataques cibernéticos.
Ataques já foram identificados
A gravidade da situação aumentou com a identificação de tentativas reais de exploração das vulnerabilidades, conhecidas conjuntamente como php2shell.
A Cloudflare, empresa especializada em proteção e infraestrutura de internet, informou que detectou tráfego malicioso direcionado a seus clientes e implementou regras de bloqueio para reduzir os riscos.
As falhas exploram problemas no gerenciamento da memória do PHP. Em situações específicas, solicitações preparadas por invasores podem provocar corrupção de memória e permitir o acesso indevido a informações ou a execução de programas maliciosos.
Entre as consequências possíveis estão o roubo de dados, a adulteração de páginas, a interrupção de serviços e o comprometimento de servidores.
WordPress exige atenção especial
O risco também alcança o universo de sites administrados pelo WordPress, uma das principais plataformas de publicação de conteúdo do mundo.
Portais jornalísticos, lojas virtuais, páginas institucionais e empresas que utilizam o sistema precisam verificar a versão do PHP instalada em seus servidores.
O detalhe é que a vulnerabilidade não está necessariamente no WordPress. Ela foi identificada na própria linguagem que sustenta o funcionamento de inúmeras aplicações.
Por isso, atualizar temas, plugins ou o painel administrativo não resolve o problema isoladamente. É indispensável que a infraestrutura de hospedagem receba a correção apropriada.
Europa mobiliza autoridades de segurança
A dimensão internacional da ameaça levou organismos europeus de segurança cibernética a recomendar providências imediatas.
Em comunicado conjunto divulgado na quarta-feira (21), a Comissão Europeia, a Agência da União Europeia para a Cibersegurança (ENISA), a Europol e equipes especializadas em resposta a incidentes orientaram organizações a identificar sistemas expostos e priorizar a instalação das atualizações.
Nos casos em que a correção não puder ser aplicada imediatamente, a recomendação inclui considerar o isolamento temporário de aplicações vulneráveis da internet.
A mobilização demonstra que o problema ultrapassa sites comerciais e pode alcançar serviços públicos e estruturas digitais essenciais.
Quatro versões corrigidas já estão disponíveis
A equipe responsável pelo PHP disponibilizou, em 21 de outubro, quatro versões destinadas à correção das vulnerabilidades:
* PHP 8.5.12
* PHP 8.4.27
* PHP 8.3.36
* PHP 8.2.35
Servidores que utilizam versões mais antigas exigem atenção adicional. Dependendo do ambiente, será necessário recorrer a correções fornecidas por empresas de suporte ou migrar para uma versão oficialmente mantida.
A orientação é consultar imediatamente o provedor de hospedagem, confirmar a aplicação dos pacotes de segurança e examinar os registros dos servidores em busca de atividades suspeitas.
O perigo pode estar onde o administrador não consegue enxergar
Um dos aspectos mais preocupantes é que a vulnerabilidade pode existir mesmo quando o site funciona normalmente, sem apresentar erros visíveis aos visitantes.
Também não significa que todos os milhões de sites desenvolvidos em PHP tenham sido invadidos. A exposição depende das versões instaladas, das configurações do ambiente e da aplicação das correções.
Até o momento, não há confirmação pública consolidada do número total de servidores efetivamente comprometidos.
Para empresas e portais de notícias, entretanto, o recado é imediato: a segurança da página não depende apenas de senhas fortes ou ferramentas instaladas no painel administrativo.
A proteção começa na infraestrutura que mantém o site funcionando. E, diante de uma vulnerabilidade crítica com tentativas de exploração já identificadas, adiar a atualização significa prolongar desnecessariamente a exposição ao risco.
