A equipe de desenvolvimento da linguagem de programação PHP lançou nesta quarta-feira (21) atualizações emergenciais de segurança para corrigir duas vulnerabilidades críticas de execução remota de código, batizadas de PHP2Shell. As falhas receberam pontuação de gravidade 9,2 de um total de 10 e afetam uma tecnologia presente em cerca de 70% dos sites e servidores web do mundo, incluindo plataformas como WordPress, Drupal, Joomla e Magento.
O risco de invasão provocou a retirada preventiva de páginas governamentais do ar e a emissão de alertas urgentes por agências de segurança cibernética. “Isso não é um exercício”, afirmou Lukasz Olejnik, consultor independente de segurança e pesquisador visitante sênior do King’s College London, em tradução livre. A empresa de cibersegurança watchTowr atribuiu nota máxima de 10,0 aos erros e confirmou o início das tentativas de exploração. “Como esperado, a watchTowr Intel já está observando a exploração ativa das mais recentes vulnerabilidades do PHP. Embora ninguém tenha tido sucesso até o momento, não esperamos que isso dure muito”, declarou Jake Knott, chefe de inteligência de ameaças da watchTowr.
Dados técnicos das vulnerabilidades PHP2Shell e versões do PHP corrigidas
Rastreadas pelos códigos CVE-2026-109618 e CVE-2026-109619, as brechas permitem que invasores executem comandos arbitrários à distância sem necessidade de senha ou autenticação prévia. De acordo com a PHP Foundation, não há medidas alternativas capazes de eliminar completamente o perigo, o que torna a atualização imediata a única solução segura para administradores de sistemas.
Continue lendo: OpenAI lança conversas trancadas por senha e biometria no ChatGPT
- Códigos de rastreamento: CVE-2026-109618 e CVE-2026-109619 (conhecidas coletivamente como PHP2Shell).
- Grau de severidade: nota 9,2 de 10 na escala CVSS v4.0 pela equipe do PHP e 10,0 pela empresa watchTowr.
- Versões oficiais corrigidas em 21 de outubro de 2026: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- Sistemas sem suporte oficial (fim de vida útil): versão 8.1 e anteriores não recebem binários atualizados, mas tiveram correções de código-fonte liberadas para as edições 7.4, 8.0 e 8.1.
- Cronologia da resposta em 21 de outubro de 2026: ativação de defesas na Cloudflare às 03h02 UTC, registro dos primeiros ataques às 07h43 UTC e publicação oficial dos avisos no GitHub às 13h34 UTC (26 minutos antes do horário previsto de 14h00 UTC).
Como as falhas CVE-2026-109618 e CVE-2026-109619 operam nos servidores PHP
A vulnerabilidade identificada como CVE-2026-109618 ocorre por uma corrupção de memória durante o esgotamento do limite de memória por requisição (out-of-memory). Além de possibilitar a execução remota de código malicioso, essa brecha provoca vazamento de dados temporários, expondo senhas, tokens de sessão, chaves de API (interface de programação de aplicações) e chaves privadas de segurança TLS pertencentes a outras requisições processadas pelo mesmo servidor. Já a falha CVE-2026-109619 decorre de um estado interno de requisição que permanece ativo após a memória correspondente ser liberada por meio da função longjmp() no tratamento de erros fatais, permitindo que uma solicitação seguinte no mesmo processo reutilize dados obsoletos. O cenário é mais crítico em servidores configurados com o software Apache e o módulo mod_php, nos quais uma única requisição HTTP não autenticada pode acionar o erro antes mesmo da execução de qualquer código da aplicação.
Saiba mais: OpenAI integra ChatGPT Slides ao Space e permite editar apresentações em equipe
Erros existiam no código do PHP há mais de uma década e foram achados por IA
As duas vulnerabilidades estavam presentes no código do PHP havia mais de uma década, com origem na série PHP 5, mas nunca haviam sido corrigidas porque desenvolvedores não acreditavam na viabilidade prática de um ataque explorar essa condição. A identificação ocorreu de forma independente com o uso de inteligência artificial: em agosto de 2026, o pesquisador Ryan Austin, da empresa de segurança Calif, localizou o problema utilizando o modelo GPT-5.6 Sol dentro da iniciativa Patch the Planet, da OpenAI. Paralelamente, os pesquisadores Sagi Tzadik, Shir Tamari, Nir Ohfeld e Tomer Schwartz, da Wiz Research (empresa pertencente ao Google), descobriram as mesmas falhas com o auxílio das ferramentas Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol.
Veja também: IA da OpenAI usa carteira de criptomoedas sem autorização
A OpenAI classificou a descoberta antecipada como uma “Janela do Defensor” e anunciou o compromisso de US$ 1 bilhão (valor total destinado ao programa) em acesso subsidiado à iniciativa Daybreak for Frontline Defenders, voltada a organizações com recursos limitados de proteção digital. “Dada a gravidade dessas falhas e o uso disseminado do PHP, consideramos este um dos problemas de segurança mais impactantes da memória recente”, informou a OpenAI em comunicado oficial. A Calif, por sua vez, ponderou sobre os limites da automação na caça a erros digitais. “Nenhum modelo é simplesmente capaz de desenterrar ‘todos os bugs’ com comandos simples. Pelo menos por enquanto”, avaliou a empresa em seu relatório.
Confira também: OpenAI acelera captação antes da abertura de capital da rival Anthropic
Alertas globais e retirada de sites do ar após vazamento sobre o PHP
Após detalhes sobre a existência das brechas vazarem em fóruns na terça-feira (20) e levarem a equipe do PHP a emitir um aviso prévio, a empresa de segurança Sansec estimou que ataques em massa começariam apenas 15 minutos após a publicação das correções. Na madrugada desta quarta-feira (21), cerca de nove horas antes da divulgação pública, a Cloudflare, cujo diretor de tecnologia (CTO) é Dane Knecht, implantou regras de proteção por padrão em seu firewall de aplicação web (WAF) para clientes gratuitos e pagos, detectando tentativas reais de invasão horas antes da liberação oficial do pacote de atualização.
Como medida preventiva enquanto preparavam a instalação dos pacotes de segurança, instituições na Finlândia, na França e nos Países Baixos retiraram seus sites do ar temporariamente. Entre as páginas desligadas estiveram o Centro Nacional de Cibersegurança holandês, a Câmara dos Representantes dos Países Baixos, o Porto de Roterdã, o portal Security.NL e a plataforma Phabricator, da fundação Wikimedia. Agências governamentais dos Estados Unidos (NSA), União Europeia (CERT-EU), Reino Unido, Austrália, Finlândia, Países Baixos e Japão emitiram comunicados urgentes recomendando a atualização imediata ou o desligamento temporário dos servidores. No Japão, a primeira-ministra Sanae Takaichi divulgou um alerta direto aos administradores públicos e privados: “A equipa de segurança do PHP emitiu um alerta sobre duas vulnerabilidades graves. Verifiquem se estão a utilizar PHP nos vossos sites públicos e preparem-se para aplicar, o mais rapidamente possível, a correção que será publicada esta noite”.