PHP lança patches de emergência para duas falhas críticas que ameaçam toda a web

A PHP Foundation liberou nesta quarta-feira (21) correções de emergência para duas vulnerabilidades críticas que afetam praticamente todo site rodando PHP, da linguagem por trás do WordPress a plataformas de e-commerce↳E-commerce21 conteúdosECBR Club: novo espaço para devs se conectarem ao ecossistema de e-commerceDev (Back & Front) · mai 2025TOTVS anuncia joint venture com VTEXMarketing Tech · mai 2019Jovens da Brasilândia recebem formação gratuita em tecnologiaGestão Dev & TI · jul 2025Ver tudo em Marketing Tech → como Magento.

O que a PHP Foundation corrigiu

Na manhã desta quarta-feira (21), pouco antes das 10h no horário do leste dos Estados Unidos (ET), equivalente a aproximadamente 11h em Brasília, a PHP Foundation publicou atualizações de emergência para duas vulnerabilidades catalogadas como CVE-2026-109618 e CVE-2026-109619. Segundo o próprio aviso oficial, as falhas afetam "todas as instalações de PHP que atendem requisições web" desde a versão 5, lançada em julho de 2004.

Na prática, só quem roda PHP 8.2 ou mais recente vai receber patch oficial do projeto, já que versões anteriores já saíram do ciclo de suporte. A Foundation observou que algumas distribuições Linux↳Linux34 conteúdosKali Linux em um Servidor VPS: como, quando e por que usar?DevSecOps · dez 2024Construindo um Windows Service ou Linux Daemon com Worker Service & .NET Core – Parte 2Dev (Back & Front) · jul 2020Criando uma WebApi utilizando .NET, Linux e VSCodeDev (Back & Front) · ago 2019Ver tudo em DevSecOps → e fornecedores terceiros ainda mantêm correções para versões legadas, mas o alerta é explícito: "Não há mitigação completa, atualizar é a única opção segura", escreveu a organização em seus avisórios.

As duas falhas receberam nota 9.2 de 10 na escala CVSS (Common Vulnerability Scoring System), classificação de severidade crítica. Um aviso prévio, sem detalhes técnicos, já havia sido publicado pela Foundation em 20 de outubro para dar tempo de preparação a equipes de segurança antes da divulgação completa.

Uma "porta da frente sem fechadura"

O ponto de entrada do ataque fica numa interface de upload de arquivos, componente presente em praticamente qualquer aplicação PHP que aceite envio de dados do usuário. O consultor de segurança Davi Ottenheimer resumiu o problema de forma direta.

A maior parte da web roda em PHP e esse bug está numa interface de upload de arquivos que é como uma porta da frente sem fechadura. Um atacante não precisa saber qual site está atingindo, nem qual software ele roda. Ele envia um upload malicioso a qualquer servidor que encontrar, e esse é o ataque inteiro.

Most of the web runs on PHP and this bug is in a file upload interface that's like a front door with no lock. An attacker does not need to know which site they are hitting or even the actual software it runs. They send one crafted upload to any server they can find, and that is the entire attack.Davi Ottenheimer, consultor de segurança e compliance

Isso explica por que a exploração não depende de reconhecimento prévio do alvo: basta varrer a internet em massa disparando o mesmo payload contra qualquer servidor que responda em PHP.

Quem achou a falha, e quem já está atacando

A Wiz, empresa de segurança em nuvem comprada pelo Google, afirma que seus pesquisadores descobriram as vulnerabilidades usando ferramentas de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → como parte do processo. De forma independente, a OpenAI e a empresa de segurança Calif dizem ter chegado às mesmas falhas e depois unido forças. A Wiz batizou sua demonstração de exploração de php2shell e descreveu o cenário em termos técnicos.

As vulnerabilidades podem permitir que atacantes não autenticados executem código em servidores afetados ou leiam memória de processo sensível. Essa memória pode conter senhas, tokens de autenticação, chaves de API e certificados pertencentes a outras requisições ou ao próprio servidor.

The vulnerabilities can allow unauthenticated attackers to execute code on affected servers or read sensitive process memory. That memory may contain passwords, authentication tokens, API keys and certificates belonging to other requests or the server itself.Pesquisa da Wiz

Mesmo antes da publicação oficial dos detalhes, a Cloudflare já reportava "ataques iniciais emergindo". A empresa de segurança Sansec havia escrito, horas antes do lançamento, que esperava "ataques em massa começando até 15 minutos após o release".

Por que o alcance é tão grande

O consultor independente Lukasz Olejnik, pesquisador visitante sênior do King's College London, compara o PHP a infraestrutura crítica pela escala de uso: sistemas de publicação como WordPress e Drupal, plataformas de e-commerce como o Magento da Adobe, e incontáveis aplicações internas corporativas dependem da linguagem.

Isso não é um simulado.

This is not a drill.Lukasz Olejnik, consultor independente de segurança

Olejnik estima que milhões de sistemas podem ser afetados e descreve o pior cenário possível: "malware do tipo worm afetando grandes porções da internet", caso atacantes consigam automatizar a exploração rapidamente. Ele também aponta um fator amplificador: ferramentas de IA tornam a exploração de falhas como essa questão de minutos, não de dias.

Quem já tirou sites do ar por precaução

Antes mesmo da disponibilização geral das versões corrigidas, algumas organizações preferiram desligar seus sistemas como medida preventiva. Múltiplos sites do governo finlandês, incluindo o da agência de cadastro territorial (National Land Survey), ficaram inacessíveis. Sites do governo francês e do Porto de Roterdã também saíram do ar, segundo reportagens da Reuters.

Para quem opera infraestrutura PHP no Brasil, o recado também vale: ambientes legados, desatualizados e sem patch oficial são justamente o tipo de cenário mais exposto a um ataque como esse, que não depende de reconhecimento prévio do alvo e pode atingir qualquer servidor PHP vulnerável encontrado na varredura.

O que fazer agora

A NCSC (agência de cibersegurança do Reino Unido), a EU-CERT e a agência de segurança cibernética da Austrália emitiram alertas recomendando que times de TI se preparassem para atualização imediata assim que os detalhes fossem publicados. A orientação prática da NCSC segue uma sequência clara:

• Identificar todos os sistemas que rodam PHP na infraestrutura da organização, com foco especial nos expostos à internet;
• Monitorar esses sistemas em busca de sinais de exploração enquanto o patch não é aplicado;
• Aplicar as atualizações do PHP assim que disponíveis para a versão em uso;
• Verificar atualizações de fornecedores de software que embutem PHP em seus próprios produtos ou serviços;
• Quando a correção imediata não for viável, considerar tirar o sistema do ar até que a mitigação completa seja possível.

Se o ataque já aconteceu

Caso sinais de comprometimento já tenham sido encontrados, a orientação do FBI é isolar o ambiente antes de qualquer outra ação. O assistente de diretor cibernético da agência, Brett Leatherman, detalhou os passos em publicação online.

Se você encontrar sinais de comprometimento, isole o sistema, preserve os logs do seu servidor web e do PHP, e reporte ao escritório local do FBI. Esses relatos nos ajudam a identificar os atores envolvidos e avisar outras organizações antes que elas se tornem vítimas.

If you find signs of compromise, isolate the system, preserve your web server and PHP logs, and report it to your local FBI field office. Those reports help us identify the actors involved and warn other organizations before they become victims.Brett Leatherman, assistente de diretor cibernético do FBI

A PHP Foundation reservou o direito de antecipar lançamentos futuros caso detalhes de vulnerabilidades vazem ou haja evidência de exploração ativa antes do previsto, o que, segundo reportagens da Bleeping Computer e da Ars Technica, pode já ter ocorrido parcialmente neste caso, com informações sobre as falhas vazando antes da divulgação oficial.

Fonte: Wired