Falha grave no PHP, usado em 70% dos sites, tira milhares de páginas do ar pelo mundo

Duas falhas críticas de segurança na linguagem de programação PHP, presente em cerca de 70% dos sites do mundo, levaram governos e empresas de vários países a tirar milhares de páginas do ar nesta semana como medida preventiva.

As vulnerabilidades, apelidadas de PHP2Shell e catalogadas como CVE-2026-109618 e CVE-2026-109619, permitem que um invasor execute comandos remotamente no servidor sem senha nem acesso prévio — na prática, assumir o controle da máquina pela internet e roubar dados confidenciais. O time de segurança do PHP classificou a gravidade com nota 9,2 em uma escala de 0 a 10.

Os defeitos estavam escondidos no software havia anos e foram descobertos no fim de agosto por equipes da OpenAI, da Wiz (empresa do Google) e da firma de segurança Calif, com o auxílio de modelos de inteligência artificial. A descoberta foi mantida em sigilo enquanto os desenvolvedores preparavam a correção, divulgada na quarta-feira (21).

Com a divulgação, a PHP Foundation lançou as atualizações e recomendou "fortemente" que todos os usuários do PHP atualizem imediatamente. A Cloudflare, empresa que protege sites contra ataques, afirma já estar vendo tentativas de invasão em andamento.

O alerta interrompeu serviços em todo o mundo. A Wikimedia, organização por trás da Wikipédia, desativou vários sistemas por precaução. O governo da Finlândia, a prefeitura de Edimburgo, a agência de segurança cibernética da Holanda e a BBC retiraram páginas do ar por um período. No Reino Unido, quase 30 serviços do governo ficaram indisponíveis durante as atualizações. No Japão, a companhia aérea ANA, a operadora ferroviária JR West e o banco MUFG suspenderam serviços temporariamente.

Nos Estados Unidos, a Agência de Segurança Nacional (NSA) e o FBI emitiram alertas, pedindo que sistemas sem a correção sejam desligados. No Brasil, o governo orientou instituições públicas a suspender sistemas que utilizam PHP até a aplicação das correções; prefeituras como as de Campinas e do Recife também suspenderam serviços.

Especialistas alertam que o pior pode estar por vir: com os detalhes técnicos agora públicos, mais tentativas de exploração devem ocorrer nas próximas semanas. Sites com baixo nível de manutenção — sobretudo os de organizações menores, com recursos limitados de segurança — estão em maior risco, segundo pesquisadores ouvidos pela BBC.

O PHP é a linguagem que roda nos servidores e monta as páginas que o usuário vê na tela. Ela está por trás de lojas virtuais, portais de governo, redes sociais e do WordPress, o sistema que sustenta milhões de blogs. Por estar tão espalhada, uma falha no próprio PHP atinge empresas, governos e hospitais ao mesmo tempo.