Falha crítica no PHP: desligamentos globais e patches

Uma vulnerabilidade crítica no PHP, linguagem que sustenta quase 70% dos sites do mundo, provocou desligamentos de serviços públicos e atualizações de emergência em vários países depois de os investigadores confirmarem que as falhas passaram mais de uma década sem serem detetadas. Batizadas PHP2Shell e registadas como CVE-2026-109618 e CVE-2026-109619, permitem execução remota de código sem autenticação: os atacantes podem assumir o controlo de servidores web sem qualquer acesso prévio.

O que é o PHP2Shell?

É o nome coletivo de duas falhas críticas no próprio motor do PHP, não em aplicações alojadas. Como o PHP corre na maioria dos sistemas operativos e está integrado em HTML para gerar páginas dinâmicas, qualquer servidor com versões afetadas é explorável independentemente do código que aloja. A PHP Foundation lançou as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 em 21 de outubro de 2026, após fuga de detalhes nas redes sociais, segundo a BBC. O incidente mostra como uma única fraqueza na infraestrutura web de código aberto pode propagar-se por sistemas públicos e privados em todo o mundo.

Desligamentos governamentais

Horas após a divulgação, governos e agências europeias retiraram serviços do ar por precaução. O Guardian noticiou que sites da Bélgica, Países Baixos, Finlândia, França e Alemanha foram temporariamente encerrados, tal como sistemas australianos e o serviço nacional de identidade digital neerlandês. O Reino Unido desativou 32 serviços públicos e a Wikimedia retirou vários sistemas, afetando partes da Wikipédia.

Atualizações de emergência e avisos oficiais

A NSA norte-americana emitiu um aviso a exigir correção imediata e alertou que os atacantes podem roubar dados, perturbar serviços ou aprofundar-se nas redes; organizações incapazes de aplicar patches devem desligar os sistemas. O NCSC britânico enviou 50 mil alertas e recomendou procurar backdoors instaladas por atacantes, classificando a escala como sem precedentes. Ambas as falhas receberam 9,2 em 10 na escala CVSS. As agências recomendam inventariar versões vulneráveis, priorizar patches e substituir serviços PHP em fim de vida, prática já integrada nos procedimentos de atualização de PHP em infraestruturas críticas.

A descoberta por IA e a corrida ao exploit

Investigadores da Wiz e da Calif encontraram as falhas com as ferramentas de IA Patch the Planet, da OpenAI, após suspeitas levantadas em 2024 e confirmação em agosto de 2026 com modelos como GPT-5.6 Sol e Gemini 4 Argon. A Cloudflare registou milhares de tentativas de exploração dez horas antes da divulgação; 45 minutos depois do anúncio eram dezenas de milhares, chegando a milhões até 22 de outubro. A Amazon Threat Intelligence afirmou que a falha estava a ser amplamente explorada. O ritmo demonstra como a descoberta de vulnerabilidades por IA encurta a janela entre divulgação e exploração.

FAQ

O que é a falha crítica no PHP?

Um par de vulnerabilidades de execução remota de código sem autenticação, apelidadas PHP2Shell (CVE-2026-109618 e CVE-2026-109619), que afeta quase 70% dos sites.

Que países desligaram sites governamentais?

Bélgica, Países Baixos, Finlândia, França, Alemanha, Austrália e Reino Unido, segundo o Guardian e a BBC.

Como corrigir a vulnerabilidade?

Atualize para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 de imediato; se não for possível, desligue os sistemas e monitorize backdoors.

Porque é tão perigosa?

Permite executar código sem autenticação, levando a roubo de dados, interrupção de serviços e intrusão profunda nas redes.

A IA foi usada na descoberta?

Sim, os investigadores usaram as ferramentas Patch the Planet, da OpenAI; é descrita como a falha mais significativa já encontrada por IA.

Conclusão e perspetivas

O episódio PHP2Shell demonstra que uma única vulnerabilidade em software de código aberto amplamente usado pode paralisar serviços públicos em vários continentes e obrigar a patches de emergência à escala nacional. Analistas temem uma longa cauda de sites sem manutenção e permanentemente vulneráveis. Melhorar a segurança de servidores web e reduzir a dependência de versões PHP sem suporte será essencial.