A Fundação PHP confirmou que os primeiros sinais da vulnerabilidade crítica na linguagem de programação PHP, que levou governos e empresas pelo mundo a retirarem sistemas do ar preventivamente, haviam sido identificados em uma auditoria externa ainda em 2024. O conserto do problema atrasou por dois anos devido à falta de recursos, à sobrecarga de desenvolvedores e a entraves no processo de decisão da equipe de segurança.
Em comunicado oficial sobre o episódio, a entidade que administra o software reconheceu os problemas internos que impediram uma resposta rápida à brecha catalogada como CVE-2026-109618. “Não vamos fingir o contrário: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela sua falta de recursos”, declarou a Fundação PHP, em tradução livre.
Continue lendo: iPhone Duo estreia no Brasil por até R$ 30.999 com fila para 2027
Atraso na correção do PHP expôs impasse técnico desde 2024
Os indícios iniciais de um erro de falta de memória (conhecido tecnicamente como out-of-memory) por trás da falha surgiram em 2024, durante uma verificação feita pela empresa francesa de cibersegurança Quarkslab. O trabalho foi organizado pela entidade Open Source Technology Improvement Fund (OSTIF), que coordena auditorias em softwares livres, e financiado pela agência alemã Sovereign Tech Agency.
Saiba mais: Falha na One UI 9.0 trava Galaxy S26 Ultra após formatação
Segundo a Fundação PHP, a elaboração do conserto foi interrompida e retomada diversas vezes ao longo de meses porque as soluções propostas na época traziam o risco de quebrar a compatibilidade com aplicações e milhares de extensões existentes no ecossistema da linguagem, além de provocar perda de desempenho nos servidores. A ausência, naquele momento, de um método comprovado para usar o erro em ataques de execução remota de código (RCE, quando um invasor roda comandos à distância no servidor) e o fato de a segurança do projeto depender de um grupo reduzido de desenvolvedores voluntários ou financiados por doações travaram o consenso da equipe.
Uso de inteligência artificial acelerou descoberta da falha no PHP em 2026
O cenário mudou no segundo semestre de 2026, quando empresas de tecnologia aplicaram modelos avançados de inteligência artificial para vasculhar o código-fonte do software e provaram que a brecha permitia invasões reais sem necessidade de login ou senha. Em 30 de julho de 2026, pesquisadores da empresa de cibersegurança Calif iniciaram uma auditoria a pedido da própria Fundação PHP utilizando o modelo GPT-5.6 Sol, da OpenAI. Em 11 de agosto de 2026, o pesquisador Ryan Austin, da Calif, e a equipe da OpenAI reportaram de forma independente a causa raiz do problema, demonstrando a execução remota de código sem autenticação.
Confira também: Delta 2.0 estreia na App Store global e apoia o iPhone Duo
Poucos dias depois, em 19 de agosto de 2026, a empresa de segurança em nuvem Wiz localizou as mesmas brechas de maneira independente e, em 24 de agosto de 2026, enviou à equipe do projeto novos caminhos de ataque descobertos com o auxílio dos modelos Gemini 4 Argon, do Google, e GPT-5.6 Sol. “Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou a Wiz na quarta-feira (21). A companhia acrescentou que o avanço tecnológico foi decisivo para destravar o caso: “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”.
Acompanhe: Estreia do iPhone Duo coincide com salto de 460% nas buscas pela Samsung
A própria Fundação PHP informou que utiliza ferramentas como o Claude Mythos para analisar códigos e validar relatos de erros, mas ponderou que os sistemas automatizados ainda não conseguem decidir a melhor forma de estruturar uma correção definitiva. No comunicado, a instituição agradeceu à pesquisadora Amy Burnett, da equipe OpenAI Codex Security, bem como às organizações Anthropic, OpenAI e Alpha-Omega pelo fornecimento de ferramentas e financiamento parcial da área de segurança.
Primeira auditoria do PHP em uma década e peso em 70% da web
A inspeção conduzida pela Quarkslab em 2024 representou a primeira auditoria externa de segurança pela qual o projeto PHP passou em mais de uma década de operação. Criado como um software gratuito e de código aberto em que qualquer pessoa pode usar e sugerir alterações, o PHP interpreta e executa comandos em servidores que sustentam plataformas globais como Facebook, Wikipedia, WordPress, o sistema acadêmico Moodle e a ferramenta de comércio eletrônico Magento.
A dimensão da rede afetada explica a corrida internacional para aplicar os reparos assim que o alerta foi emitido. Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, alerta que os servidores que não instalarem os pacotes de atualização rapidamente correm risco direto de invasão, já que “rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites”.
Veja também: Samsung mantém formato da Galaxy Fit 3 na nova pulseira Galaxy Fit 4
Versões corrigidas do PHP e suspensão do SEI no Brasil
A divulgação das correções precisou ser antecipada em um dia, para 21 de outubro de 2026, após os códigos de identificação das falhas vazarem nas redes sociais na terça-feira (20), logo depois de um aviso prévio da equipe de segurança. No setor de cibersegurança, o conjunto de brechas foi batizado de PHP2Shell.
- Falhas registradas: CVE-2026-109618 (corrupção por falta de memória) e CVE-2026-109619 (execução remota via estado global obsoleto).
- Grau de severidade: nota 9.2 na escala CVSS v4.0 (sistema internacional que mede a gravidade de falhas de 0 a 10).
- Sistemas afetados: servidores web que operam com versões a partir do PHP 5.4.
- Quatro versões de correção lançadas: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35.
- Órgãos com medidas preventivas no Brasil: Agência Nacional de Telecomunicações (Anatel), Tribunal Regional Federal da 1ª Região (TRF1) e Tribunal Regional Federal da 4ª Região (TRF4).
No Brasil, a Anatel e tribunais como o TRF1 e o TRF4 suspenderam temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI), plataforma usada para gerenciar processos administrativos e judiciais, a partir de quarta-feira (21) como medida de precaução contra ataques. Ainda não há confirmação de prazo oficial para a normalização completa do acesso externo ao SEI em todos os órgãos públicos e tribunais brasileiros afetados, e os administradores de sistemas precisam instalar uma das quatro versões atualizadas do PHP para restabelecer a segurança dos servidores.
