Falha crítica no PHP: sites oficiais fora do ar

Uma vulnerabilidade crítica no PHP divulgada em 21 de outubro de 2026 forçou agências governamentais na Europa e além a retirar sites do ar enquanto correm para aplicar correções emergenciais. O PHP, linguagem de script open source que sustenta cerca de 70% dos sites com linguagens identificáveis, incluindo WordPress, Wikipedia e Slack, contém duas falhas que permitem execução remota de código sem autenticação. A gravidade motivou desligamentos preventivos na Bélgica, Países Baixos, Finlândia, França e Alemanha, com o serviço nacional de identidade digital neerlandês e o Porto de Roterdã entre os sistemas suspensos.

O que é a vulnerabilidade no PHP e como foi descoberta?

Duas falhas críticas — CVE-2026-109618 e CVE-2026-109619 — com pontuação CVSS 9.2 afetam o PHP das versões 5.4 a 8.5.11. Pesquisadores auxiliados por inteligência artificial identificaram as vulnerabilidades com uma década de existência, descritas pela PHP Foundation como as mais significativas já encontradas por IA. As versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 foram lançadas em 21 de outubro. Apache com mod_php está especialmente exposto, embora PHP-FPM, php-cgi, FrankenPHP e LiteSpeed também possam ser afetados. O caso evidencia os riscos das falhas de segurança em código aberto que permanecem ocultas por anos.

Quais sites governamentais foram retirados do ar?

Desligamentos preventivos varreram a Europa. Nos Países Baixos, Overheid.nl, MijnOverheid.nl, DigiD, o Porto de Roterdã, a KNVB, sites de partidos políticos e de hospitais ficaram offline. A Finlândia suspendeu os serviços Valtori, a França tirou do ar a prefeitura de polícia de Paris, e Bélgica e Alemanha seguiram com seus sistemas. A Dinamarca encerrou o Kombit, e conselhos britânicos em Edimburgo, Bristol e Oxford e a Direção de Sinais da Austrália também foram afetados. A NSA e o NCSC britânico recomendaram retirar sistemas do ar quando não fosse possível corrigir imediatamente. A onda de bloqueios ressalta a fragilidade dos serviços digitais governamentais europeus.

Como corrigir e proteger sistemas PHP

As agências recomendam uma resposta estruturada:

1. Inventariar todas as instalações PHP, incluindo hospedagem compartilhada e aplicações legadas.
2. Priorizar sistemas expostos à internet que recebem entradas não confiáveis.
3. Aplicar as correções 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou backports do fornecedor.
4. Verificar atualizações de cargas de trabalho em nuvem e imagens de contêiner.
5. Revisar logs em busca de atividade suspeita ou tentativas de exploração.
6. Restaurar serviços suspensos apenas após confirmação segura.

Dane Knecht, da Cloudflare, classificou as atualizações de regras de firewall como paliativo apenas, reforçando a necessidade de gestão emergencial de patches e de ferramentas de varredura de vulnerabilidades.

Impacto global e o que dizem os especialistas

A Amazon relatou uma tentativa de exploração em um honeypot quatro dias antes da divulgação pública, sugerindo que atacantes já sondavam as falhas. Como o PHP sustenta o WordPress e muitos CMS, especialistas alertam para uma longa cauda de sites sem correção em hospedagem compartilhada. Agências da Europa, Austrália, Japão e Reino Unido emitiram alertas, e ataques assistidos por IA podem amplificar a ameaça. O episódio testa a coordenação global de resposta a incidentes de cibersegurança.

FAQ

O que é a vulnerabilidade no PHP?

São duas falhas críticas que permitem execução remota de código sem autenticação em servidores PHP.

Quais versões são afetadas?

PHP 5.4 a 8.5.11. As correções estão em 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Por que os sites governamentais foram desligados?

Por precaução, pois as falhas podiam dar acesso direto ao sistema de arquivos do servidor antes da correção.

O WordPress é afetado?

Sim. Qualquer site WordPress com versão de PHP não corrigida está em risco.

Como proteger meu site?

Aplique a versão corrigida, priorize sistemas expostos, revise logs e use um firewall de aplicação como paliativo.

Conclusão

A falha crítica de outubro de 2026 lembra que softwares de código aberto fundamentais podem carregar riscos ocultos. Governos e empresas devem corrigir agora e monitorar ataques subsequentes, pois a cauda de sistemas sem patch deve persistir por meses.