Duas vulnerabilidades críticas na linguagem de programação PHP, batizadas coletivamente de PHP2Shell, levaram governos, parlamentos e empresas em todo o mundo a retirar sites do ar preventivamente nesta quarta-feira (21). As falhas permitem a execução remota de código sem necessidade de senha ou autenticação, o que motivou o lançamento de atualizações de emergência para proteger sistemas que sustentam cerca de 70% das páginas da internet.
Os erros de segurança de memória permitem ainda o vazamento de dados do servidor, a leitura arbitrária de arquivos e ataques de negação de serviço. Detalhes técnicos sobre o problema vazaram antes da data planejada para o anúncio oficial, forçando a equipe do PHP a antecipar a liberação dos pacotes de correção diante do registro imediato de tentativas de invasão. “Estamos vendo o surgimento de ataques iniciais e atualizando as mitigações à medida que novos vetores aparecem”, afirmou o diretor de tecnologia da Cloudflare, Dane Knecht, em tradução livre.
PHP2Shell: códigos, gravidade e versões corrigidas
A equipe de segurança responsável pela linguagem disponibilizou as correções definitivas para os administradores de sistemas e detalhou os parâmetros técnicos do incidente:
- Códigos de registro: CVE-2026-109618 e CVE-2026-109619.
- Grau de severidade: nota 9,2 de um total de 10 na escala CVSS v4.0 (sistema internacional que mede a gravidade de falhas de segurança).
- Sistemas atingidos: servidores que operam da versão PHP 5.4 até a 8.5, incluindo plataformas de gerenciamento de conteúdo como WordPress, Drupal, Joomla e Magento.
- Versões corrigidas: pacotes 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Lançamento da atualização: 21 de outubro de 2026, às 10h30 no horário de Brasília (13h30 UTC).
Governos da Europa tiram sistemas em PHP do ar por precaução
A suspensão preventiva de páginas públicas ocorreu para evitar invasões enquanto as equipes técnicas preparavam a instalação dos pacotes de segurança. Nos Países Baixos, a Câmara dos Representantes (Tweede Kamer) desligou seu portal. Segundo um porta-voz do parlamento neerlandês, essas vulnerabilidades afetam sites em todo o mundo e tornam possível controlar remotamente um servidor.
Saiba mais: OpenAI lança conversas trancadas por senha e biometria no ChatGPT
Na França, o Ministério do Interior adotou o desligamento cautelar, mesma medida aplicada a serviços públicos da Finlândia operados pela estatal Valtori e à plataforma escolar municipal Kombit, na Dinamarca. Na Bélgica, saíram do ar páginas do governo e do Parlamento da região de Flandres, do Ministério das Relações Exteriores e do Centro Belga de Cibersegurança.
Houve também registros de indisponibilidade no hospital AZ Monica, em Antuérpia, na plataforma escolar belga Smartschool, no portal de serviços públicos MijnOverheid, nos Países Baixos, além de páginas do Conselho Municipal de Edimburgo e dos programas Doctor Who e The Traitors, no Reino Unido. Ainda não há confirmação oficial, contudo, de que a queda específica desses serviços tenha relação direta com as falhas no PHP.
Inteligência artificial da OpenAI identificou as falhas no PHP
As brechas presentes no código há mais de uma década foram localizadas com o uso de inteligência artificial dentro da iniciativa de segurança Patch the Planet. A descoberta reuniu pesquisadores da startup de cibersegurança Calif, que utilizou o modelo GPT-5.6 Sol, especialistas da empresa Wiz e da própria OpenAI, com a colaboração da Quarkslab. Em comunicado oficial, a OpenAI informou que, dada a gravidade dessas falhas e o uso disseminado do PHP, considera este um dos problemas de segurança de maior impacto na memória recente.
A identificação do problema seguiu um cronograma de testes e alertas coordenados entre empresas privadas e órgãos de Estado ao longo de quase três meses:
- 30 de julho de 2026: a empresa Calif inicia a auditoria no código do PHP pelo programa Patch the Planet.
- 11 de agosto de 2026: pesquisadores da Calif e da OpenAI reportam de forma independente a causa raiz da falha de execução remota de código.
- 24 de agosto de 2026: a empresa Wiz relata novos vetores das vulnerabilidades aos mantenedores do PHP.
- 16 de outubro de 2026: o governo dos Estados Unidos recebe a notificação formal sobre o risco.
- Terça-feira (20): o projeto PHP anuncia o preparo de uma atualização crítica e a Equipe de Resposta a Emergências Informáticas da União Europeia (CERT-EU) emite aviso prévio.
- Quarta-feira (21), às 0h02 de Brasília (03h02 UTC): a Cloudflare ativa regras de bloqueio padrão em seu firewall de aplicações web (WAF) cerca de nove horas antes da divulgação pública.
Erros de memória no PHP já haviam sido apontados em 2024
Uma das falhas reveladas agora tem origem em um problema identificado em 2024, durante a primeira auditoria externa de segurança do PHP em anos, organizada pela PHP Foundation com financiamento da Sovereign Tech Agency e execução da Quarkslab. Na época, um desenvolvedor central da linguagem apontou um erro de falta de memória (Out-Of-Memory), mas a correção não avançou por ausência de consenso técnico e porque nenhuma exploração prática havia sido demonstrada.
Veja também: OpenAI integra ChatGPT Slides ao Space e permite editar apresentações em equipe
No funcionamento interno do sistema, a falha CVE-2026-109618 ocorre por corrupção de memória quando o PHP interrompe requisições que superam o limite configurado (memory_limit) por meio da função longjmp(), o que deixa estruturas parcialmente inicializadas que o servidor trata como válidas durante a limpeza. Já a vulnerabilidade CVE-2026-109619 envolve estados globais obsoletos que permanecem ativos mesmo após a liberação da memória correspondente.
Agências internacionais recomendam desligar servidores PHP sem atualização
O risco não se limita a páginas com ferramentas de envio de arquivos pelos usuários, pois decorre do processamento direto de requisições pelo servidor. Órgãos como o Centro Nacional de Segurança Cibernética (NCSC, do Reino Unido e dos Países Baixos) e o Centro Australiano de Segurança Cibernética (ACSC) emitiram alertas para que administradores identifiquem sistemas vulneráveis imediatamente.
A Agência de Segurança Nacional dos Estados Unidos (NSA) orientou a interrupção dos serviços caso o pacote de correção não possa ser instalado na hora. De acordo com a agência norte-americana, essas vulnerabilidades frequentemente fornecem um caminho direto para o sistema de arquivos ou banco de dados do servidor e, se uma atualização imediata não for viável, a recomendação é que as organizações tirem o sistema do ar até que o problema possa ser totalmente mitigado.
No Japão, a primeira-ministra Sanae Takaichi fez um pronunciamento direto aos operadores de tecnologia do país. “A equipa de segurança do PHP emitiu um alerta sobre duas vulnerabilidades graves. Verifiquem se estão a utilizar PHP nos vossos sites públicos e preparem-se para aplicar, o mais rapidamente possível, a correção que será publicada esta noite”, afirmou. Organizações que operam versões antigas e sem suporte da linguagem precisam planejar a migração para as edições atualizadas e auditar seus registros em busca de acessos indevidos ocorridos antes da aplicação do bloqueio.
