Duas falhas críticas no PHP levam a Índia ativar resposta de emergência e tirar sites do ar

O que foi descoberto

Duas vulnerabilidades críticas no PHP↳PHP44 conteúdosPadronizando seu código com PHP CS FixerDev (Back & Front) · mai 2019Docker de imagem. Para rodar projetos PHP em menos de 30 segundosDev (Back & Front) · jan 2026PHP 7.3: conheça as novidades desta versãoDev (Back & Front) · abr 2019Ver tudo em Dev (Back & Front) → vieram a público na quarta-feira, 21 de outubro de 2026, descobertas por pesquisadores ligados à Calif, à OpenAI e à Wiz, segundo reportagem do Economic Times. As falhas receberam nota 9,2 em uma escala de severidade de 0 a 10, o que as coloca entre as mais graves já registradas na linguagem.

O problema é de escala: o PHP move cerca de 69,3% de todos os sites do mundo, segundo dados citados na reportagem. Mais grave ainda, 34,8% desses sites rodam PHP 7 ou versões anteriores, que não recebem mais correção oficial do projeto. Para essas instalações, não existe patch a instalar, só contorno.

A Palo Alto Networks estima que mais de 22,6 milhões de instâncias expostas à internet podem estar vulneráveis, e a empresa já observou exploração ativa em campo. O CEO da Cloudflare, Matthew Prince, disse que a empresa viu milhões de tentativas de exploração das brechas.

Índia em modo de emergência

Bancos indianos auditaram aplicações, tiraram serviços não críticos do ar e prepararam backups para desviar tráfego em caso de instabilidade. O governo começou a aplicar correções emergenciais em dezenas de sites oficiais, seguindo orientação do CERT-In, a agência nacional de resposta a incidentes cibernéticos.

A fintech Razorpay implantou um sistema de detecção de vulnerabilidades baseado em IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → e emitiu alertas a seus lojistas. O CEO da empresa resumiu a preocupação:

Venho insistindo que modelos de IA conseguem identificar e atacar vulnerabilidades de segurança que sistemas tradicionais de detecção humana não estão preparados para enfrentar. O que me preocupa é que as falhas no PHP podem atingir cerca de 70% da internet. Isso pode ter repercussões duradouras, já que dados pessoais podem ser usados para ataques de engenharia social.

I have been stressing the fact that AI models can identify and attack security vulnerabilities that traditional human-based detection systems aren't prepared to handle. What I am worried about is that PHP flaws can target roughly 70% of the internet. This can have long-lasting repercussions, as personal data can be used to carry out social engineering attacks.Harshil Mathur, CEO da Razorpay

O Ministério de Eletrônica e Tecnologia da Informação da Índia afirmou que a infraestrutura digital pública do país, como o portal de identificação Aadhaar, o sistema de pagamentos instantâneos UPI e o portal de arrecadação GSTN, não roda em PHP, mas em pilhas Java, .NET ou stacks corporativas próprias, e por isso não deveria ser afetada.

O resto do mundo também reagiu

Governos da França, Alemanha, Países Baixos, Dinamarca, Bélgica, Finlândia, Reino Unido e Estados Unidos tiraram do ar sites de órgãos públicos, hospitais, escolas e infraestrutura crítica como medida preventiva. A primeira-ministra do Japão, Sanae Takaichi, publicou um alerta público incomum pedindo que operadores de sites corrijam as vulnerabilidades com urgência.

Internautas já batizaram o episódio de "Black October": as últimas 72 horas antes da publicação da reportagem concentraram cerca de uma dúzia de incidentes de segurança relatados globalmente, com a falha no PHP como o mais grave deles. A Palo Alto Networks classificou o caso como "o capítulo de abertura de uma aceleração massiva de ciberameaças que vai definir o futuro próximo", e não apenas mais uma divulgação de vulnerabilidade de alta severidade.

Por que o prazo importa

O alerta de quem já lida com resposta a incidentes é que a janela de maior risco ainda não passou. Segundo o CTO da Hewlett Packard Enterprise, Ranganath Sadasiva, os invasores vão caçar alvos de alto valor nas próximas semanas:

Nas próximas duas a três semanas, atacantes devem mirar sistemas vulneráveis, especialmente aqueles onde conseguem acesso a dados sensíveis. Eles vão procurar lugares onde o retorno potencial é alto: sites de governo e outros sistemas grandes com informação sensível podem ser alvo. Boa parte do que os atacantes buscam é dado pessoal, como números de telefone e outras informações de identificação. Também podem tentar alterar processos de autenticação.

Over the next two to three weeks, attackers are likely to target vulnerable systems, particularly those where they can gain access to sensitive data. They will look for places where the potential payoff is high. Government websites and other large systems holding sensitive information could be targets. Much of what attackers seek is personal data, such as phone numbers and other identifying information. They may also try to alter authentication processes.Ranganath Sadasiva, CTO da Hewlett Packard Enterprise

O caso mais citado como comparação é o do Log4Shell, falha de 2021 na biblioteca de log Log4j, da linguagem Java, que recebeu nota máxima de severidade (10 de 10). Na época, mais de 25 milhões de tentativas de exploração foram registradas, o custo médio de resposta por empresa afetada chegou a US$ 90 mil, e grupos de ransomware como LockBit, Conti e BlackCat exigiram resgates milionários. Anos depois do patch disponível, organizações ainda gastam dinheiro se protegendo contra essa falha, segundo a reportagem.

O problema de quem não sabe onde roda PHP

O cofundador da empresa de inteligência de ameaças Cyble, Beenu Arora, descreveu o pior cenário: sites de prefeituras e órgãos estaduais construídos por fornecedores em contratos fechados anos atrás, que ainda rodam a versão de PHP que estava disponível no lançamento, sem ninguém sabendo claramente quem tem autorização para mexer no servidor, se é a equipe de TI interna, o fornecedor original, a hospedagem ou o data center estadual.

Ele também alertou que os riscos devem continuar aparecendo por meses: defacements sincronizados com momentos políticos, redirecionamentos maliciosos em páginas de governo, skimmers de cartão em checkouts de e-commerce↳E-commerce21 conteúdosECBR Club: novo espaço para devs se conectarem ao ecossistema de e-commerceDev (Back & Front) · mai 2025TOTVS anuncia joint venture com VTEXMarketing Tech · mai 2019Jovens da Brasilândia recebem formação gratuita em tecnologiaGestão Dev & TI · jul 2025Ver tudo em Marketing Tech → e vazamento de dados de portais que já estavam comprometidos antes de qualquer correção.

O CTO da empresa de IA corporativa AIONOs, Arjun Nagulapally, resumiu o critério que vai separar quem sofre de quem não sofre com o episódio:

As empresas que vão sofrer são as que não conseguem responder onde rodamos PHP e quem é o dono disso em até uma hora.

The companies that suffer will be the ones that can't answer "where do we run PHP, and who owns it?" within the hour.Arjun Nagulapally, CTO da AIONOs

E o Brasil, está na mira?

A reportagem do Economic Times não cita o Brasil nem traz dados de exposição do país. Mas vale fazer a leitura por aqui: PHP é a linguagem por trás de boa parte da web brasileira, de lojas virtuais em WooCommerce e Magento a portais institucionais, prefeituras e autarquias que seguem exatamente o perfil descrito por Beenu Arora, o de sistema contratado há anos, congelado na versão que estava disponível no lançamento, sem dono claro de manutenção.

No Brasil, quem concentra alertas de incidentes de segurança em nível nacional é o CERT.br, equivalente ao CERT-In indiano. A reportagem usada como fonte não traz nenhuma comunicação específica do órgão brasileiro sobre essas duas falhas, o que não significa ausência de risco, só ausência de confirmação pública até a publicação da matéria original.

Para quem desenvolve ou mantém sistemas em PHP por aqui, a lição prática da crise indiana é direta: fazer o inventário de onde PHP roda na operação, qual versão está em produção e quem é responsável por aplicar a correção, antes que a pergunta chegue durante um incidente. Projetos travados em PHP 5 ou 7 sem plano de migração são, pela própria reportagem, os que ficam sem saída além de backport de distribuição, correção de fornecedor ou migração completa.

Fonte: ET Tech (Índia): "PHP security flaw: India activates emergency response; takes apps offline amid a global alert", The Economic Times.

Fonte: ET Tech (Índia)