Duas falhas críticas no PHP levaram organizações governamentais e outras entidades dos Estados Unidos e da Europa a suspender temporariamente o acesso a alguns dos seus sites. As vulnerabilidades permitem, em determinadas condições, que um atacante execute código num servidor sem necessidade de autenticação, o que pode comprometer os sistemas afetados.
As correções de segurança foram disponibilizadas a 21 de outubro de 2026. A situação assume particular relevância devido à utilização generalizada do PHP, uma linguagem de programação presente em grande parte dos sites que dependem de tecnologias de servidor. Entre os serviços cuja suspensão temporária foi noticiada encontram-se plataformas governamentais europeias e serviços de informação de alcance internacional.
Duas vulnerabilidades permitem executar código remotamente
As falhas críticas no PHP foram identificadas como CVE-2026-109618 e CVE-2026-109619 e receberam uma classificação de gravidade de 9,2 na escala CVSS v4.0.
A execução remota de código é uma das categorias de vulnerabilidades mais preocupantes na segurança informática. Dependendo da configuração do servidor e das permissões disponíveis, pode permitir a um atacante executar instruções não autorizadas, aceder a informação ou comprometer aplicações alojadas no sistema.
A existência destas vulnerabilidades não significa, contudo, que todos os sites desenvolvidos em PHP estejam automaticamente expostos. O risco concreto depende da versão instalada, da configuração do ambiente e das condições necessárias para explorar cada falha.
A dimensão do problema explica a resposta das autoridades. A Comissão Europeia, a Agência da União Europeia para a Cibersegurança (ENISA), o CERT-EU e a Europol divulgaram um alerta conjunto sobre a necessidade de aplicar as correções.
Inteligência artificial ajudou a descobrir as falhas críticas no PHP
Um dos aspetos mais relevantes deste incidente está relacionado com a forma como as vulnerabilidades foram identificadas.
A Google Cloud e a Wiz confirmaram a utilização de ferramentas de inteligência artificial na investigação das falhas. Estas tecnologias ajudaram a analisar código e a identificar problemas de segurança que tinham passado despercebidos durante anos.
O caso demonstra como a IA pode contribuir para a análise de software amplamente utilizado, sobretudo quando existem grandes quantidades de código acumulado ao longo de sucessivas versões.
No entanto, a mesma capacidade de automatização também pode ser utilizada por atacantes para procurar sistemas vulneráveis. A divulgação pública das falhas e a disponibilidade de informação técnica aumentam a urgência das atualizações, embora não constituam, por si só, prova de exploração em ataques reais.
Atualizações de segurança disponíveis para quatro versões do PHP
A equipa responsável pelo PHP publicou correções para as quatro versões atualmente suportadas pelo projeto. De acordo com o aviso oficial de segurança, as atualizações devem ser instaladas com urgência, sobretudo nos servidores acessíveis através da Internet.
| Versão do PHP | Versão corrigida |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
O problema é particularmente preocupante para organizações que ainda utilizam versões antigas. O PHP 8.1 e as versões anteriores já não recebem correções diretamente do projeto, embora alguns fornecedores de distribuições Linux e serviços de suporte prolongado possam disponibilizar atualizações específicas.
O Centro Canadiano para a Cibersegurança recomenda que as organizações identifiquem todas as instalações vulneráveis, atualizem os sistemas e verifiquem os registos dos servidores para detetar possíveis sinais de comprometimento.
Quando não for possível instalar imediatamente as correções, as autoridades europeias recomendam o isolamento das aplicações expostas à Internet. Esta medida pode exigir a suspensão temporária de serviços, mas reduz a possibilidade de exploração enquanto a atualização não estiver concluída.
A exposição também não se limita aos servidores que utilizam PHP diretamente. Produtos comerciais, sistemas de gestão de conteúdos e outras aplicações podem incorporar componentes vulneráveis, o que obriga os administradores a verificar igualmente as atualizações dos respetivos fornecedores.
Outros artigos interessantes:
