Patch crítico do PHP é esperado hoje após falha que recebeu nota 9.2 de severidade

Os desenvolvedores do PHP↳PHP44 conteúdosPadronizando seu código com PHP CS FixerDev (Back & Front) · mai 2019Docker de imagem. Para rodar projetos PHP em menos de 30 segundosDev (Back & Front) · jan 2026PHP 7.3: conheça as novidades desta versãoDev (Back & Front) · abr 2019Ver tudo em Dev (Back & Front) → publicaram, na terça-feira (20), um aviso de segurança sobre duas vulnerabilidades críticas que recebem nota 9.2 em uma escala de 10. O patch oficial é esperado para hoje, por volta das 10h no horário do leste dos Estados Unidos (aproximadamente 11h em Brasília), segundo reportagem do The Verge. A equipe do PHP já avisou que pode antecipar o lançamento se os detalhes da falha vazarem antes ou se houver evidência de exploração ativa.

A recomendação oficial é direta: "upgrade as soon as the release is available", ou seja, atualizar assim que a versão corrigida estiver disponível. Não existe mitigação alternativa documentada além do patch em si.

Por que a falha é tão grave

Segundo a empresa de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → watchTowr, citada pelo The Verge, as duas vulnerabilidades são do tipo Remote Code Execution (RCE) e afetam toda versão do PHP a partir da 5. Isso inclui instalações legadas que muita gente esqueceu que ainda estão rodando em produção, especialmente em hospedagens compartilhadas e painéis de controle mais antigos.

RCE significa que um atacante consegue rodar código próprio no servidor vulnerável. Na prática, isso abre caminho para alterar o conteúdo de um site, roubar dados de banco, instalar backdoors ou usar o servidor comprometido como ponto de apoio para outros ataques.

Um pesquisador de segurança estimou que mais de 1,3 milhão de hosts conectados à internet estão potencialmente expostos, de acordo com a matéria do The Verge. O número não vem de um levantamento da própria equipe do PHP, mas dá a dimensão do problema antes mesmo da divulgação pública dos detalhes técnicos da falha.

WordPress e hospedagem compartilhada no alvo

A Wordfence, empresa que mantém um dos plugins de segurança mais usados no WordPress, afirmou que todo site WordPress estará vulnerável, simplesmente porque todo site WordPress roda sobre um servidor com PHP. Isso é relevante porque, segundo dado da própria WordPress citado pelo The Verge, a plataforma move mais de 40% da internet.

No Brasil, essa conta pesa ainda mais em um ponto específico: boa parte dos sites WordPress do país está em hospedagem compartilhada, onde quem administra o servidor não é o mesmo que publica o conteúdo. A Wordfence alertou que o patch não pode ser instalado via atualização automática do PHP, então cabe a quem administra a infraestrutura (não ao dono do site) aplicar a correção manualmente assim que ela sair.

Em resumo: se você mantém um site ou aplicação em PHP e não sabe quem é responsável pela camada de infraestrutura (hosting, VPS, servidor dedicado), hoje é o dia de descobrir isso antes que alguém descubra por você.

O que já está sendo feito

O CERT da União Europeia e o National Cyber Security Centre do Reino Unido publicaram avisórios recomendando que empresas incapazes de aplicar o patch imediatamente isolem suas aplicações expostas à internet ou as tirem do ar completamente até a mitigação total.

A GrapheneOS, desenvolvedora de sistema operacional mobile, tirou o fórum de discussão de usuários do ar de forma preventiva, porque provas de conceito do exploit já estão sendo desenvolvidas.

Não queremos correr o risco.

We don't want to take the risk.GrapheneOS, em comunicado citado pelo The Verge

A desenvolvedora do PHP Gina Peter Banyard confirmou que aplicar o patch é a única mitigação real disponível, e que desligar servidores pode ser a alternativa mais sensata para quem não consegue atualizar a tempo.

Pode ser a coisa mais sensata a fazer.

Might be the most sensible thing to do.Gina Peter Banyard, desenvolvedora do PHP

Pesquisadores de ameaças da Sansec já se prepararam para o pior cenário possível.

Esperamos ver ataques em massa dentro de 15 minutos após o lançamento.

We expect to see mass attacks within 15 minutes of the release.Pesquisadores de ameaças da Sansec

E, segundo o CTO da Cloudflare, Dane Knecht, os ataques nem esperaram o patch sair.

Estamos vendo os primeiros ataques surgindo.

We are seeing early attacks emerging.Dane Knecht, CTO da Cloudflare

A Cloudflare afirmou que está atualizando temporariamente as regras de firewall da plataforma como medida provisória até a correção oficial estar disponível para seus clientes.

O que fazer agora, na prática

Antes de qualquer coisa, descubra qual versão do PHP está rodando no seu ambiente de produção. Em um servidor Linux típico, isso é:

php -v

Em ambientes gerenciados (cPanel, Plesk, hospedagens compartilhadas brasileiras), o caminho costuma ser o painel de controle, não o terminal. Alguns pontos para verificar hoje:

• Quem é o responsável pela atualização do PHP no seu stack: você, o time de infraestrutura ou o provedor de hospedagem?
• Se o provedor já tem um aviso ou ETA para o patch (muitos provedores brasileiros de hospedagem compartilhada demoram para repassar patches críticos).
• Se há como colocar a aplicação atrás de um WAF (Web Application Firewall) como camada extra enquanto o patch não sai.
• Se vale a pena, para serviços não essenciais, isolar o acesso público até a correção ser aplicada, como recomendam o CERT-EU e o NCSC britânico.

Para quem usa WordPress, o alerta da Wordfence é direto: o plugin de segurança não resolve isso sozinho, porque a falha está na camada do PHP, abaixo do WordPress. A atualização precisa acontecer no servidor, não no painel do site.

O que ainda fica em aberto

No momento da publicação da matéria original, o The Verge não trazia o número de CVE das duas vulnerabilidades, nem detalhes técnicos sobre o vetor exato de exploração, provavelmente retidos de propósito pela equipe do PHP até o patch sair. Também não há, nas fontes disponíveis, confirmação de que o patch já foi efetivamente lançado às 10h ET previstas, nem lista oficial de distribuições Linux ou provedores de nuvem que já empacotaram a correção. Vale acompanhar o anúncio oficial no site do PHP assim que ele sair, e tratar qualquer servidor PHP voltado à internet como exposto até a atualização ser aplicada.

Fonte: The Verge