Duas falhas graves de segurança descobertas na tecnologia PHP resultaram na retirada preventiva de portais da internet em diversas regiões nesta quarta-feira, 21 de outubro. Diante do risco, autoridades internacionais emitiram alertas e recomendaram o desligamento temporário de servidores afetados.
Gravidade das falhas e riscos aos servidores
As vulnerabilidades permitem que criminosos executem comandos diretamente nos servidores sem a necessidade de autenticação ou senha. Com nota 9,2 em uma escala máxima de 10, um ataque bem-sucedido pode comprometer o funcionamento de páginas inteiras e facilitar o acesso não autorizado a arquivos confidenciais e bancos de dados.
Apesar do impacto, órgãos oficiais esclareceram que não houve um apagão global da rede. A suspensão de muitos serviços ocorreu por iniciativa dos próprios administradores, que preferiram isolar os ambientes para evitar invasões enquanto aplicavam as correções necessárias.
Ações de autoridades internacionais
Nos Estados Unidos, a Agência de Segurança Nacional (NSA) orientou que os administradores atualizem os sistemas afetados o quanto antes. Em nota oficial, a instituição declarou: “Se uma atualização imediata não for viável, recomenda-se que as organizações tirem o sistema do ar”
Na Europa, o governo holandês suspendeu plataformas governamentais importantes, como Overheid.nl, MijnOverheid.nl e o sistema de identificação digital DigiD. Até aquele momento, o país não havia registrado evidências de exploração ativa dessas brechas, mas o próprio Centro Nacional de Segurança Cibernética (NCSC) tirou seu portal do ar por precaução.
Medidas semelhantes foram adotadas pelo CERT-EU, que atende as instituições da União Europeia, e pelo Centro Nacional de Segurança Cibernética do Reino Unido, que exigiram a identificação de aplicações expostas e a instalação rápida de patches ou o isolamento dos sistemas.
Orientações para usuários do WordPress e atualizações
O projeto responsável pelo desenvolvimento do PHP liberou correções emergenciais nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, registradas sob os códigos CVE-2026-109618 e CVE-2026-109619. O WordPress também se manifestou, explicando que a falha ocorre no servidor e não exige um patch específico da plataforma.
A orientação para administradores de sites é contatar o serviço de hospedagem para verificar se a correção já foi instalada. Especialistas reforçam que a suspensão preventiva de uma página ou a presença de uma instalação vulnerável não significam necessariamente que o sistema sofreu uma invasão, mas funcionam como barreiras para conter possíveis ameaças.
