PHP tem falha crítica que libera controle remoto sem senha, alertam FBI e PHP Foundation

O alerta que pegou a internet de surpresa

Na quarta-feira (21), a PHP↳PHP44 conteúdosPadronizando seu código com PHP CS FixerDev (Back & Front) · mai 2019Docker de imagem. Para rodar projetos PHP em menos de 30 segundosDev (Back & Front) · jan 2026PHP 7.3: conheça as novidades desta versãoDev (Back & Front) · abr 2019Ver tudo em Dev (Back & Front) → Foundation, organização responsável pela linguagem PHP, e a divisão cibernética do FBI emitiram alertas conjuntos sobre duas vulnerabilidades críticas na linguagem. A reportagem da Associated Press, republicada pelo ET Tech, descreve o episódio como uma das vulnerabilidades mais notáveis dos últimos tempos para a linguagem considerada a espinha dorsal da web.

Segundo a fundação, as falhas permitem acesso não autenticado a sites que rodam PHP. Na prática, um invasor pode assumir o controle remoto de um servidor sem precisar de senha, segundo James Sullivan, diretor de cyber e tecnologia no Royal United Services Institute, em Londres, ouvido pela Associated Press. Com esse acesso, é possível roubar dados, alterar informações ou usar a máquina comprometida como plataforma para outros ataques.

O aviso pediu que administradores aplicassem o patch imediatamente ou, caso isso não fosse possível de imediato, tirassem o site do ar até a correção estar pronta e testada.

Por que o estrago pode ser gigante

A gravidade está no alcance: o PHP é a linguagem por trás de cerca de 70% dos sites do mundo, segundo a reportagem. É a base do WordPress e do Drupal, dois sistemas de gestão de conteúdo usados por governos ao redor do mundo, e também do MediaWiki, o software que roda a Wikipédia.

Depois dos alertas, vários sites saíram do ar preventivamente enquanto aguardavam ou aplicavam a correção. Houve interrupção em serviços e sites governamentais no Reino Unido, na Finlândia e no Japão. Alguns continuam fora do ar porque existem múltiplos patches, cada um específico para um tipo de software, e nem toda organização já recebeu ou testou o seu.

Charl van der Walt, chefe de pesquisa em segurança da Orange Cyberdefense, diz que a reação desta semana é só o começo. Para ele, são os primeiros sinais de uma instabilidade que deve se espalhar nas próximas semanas e meses, à medida que agentes maliciosos varrem a internet atrás de sistemas ainda vulneráveis.

A IA jogou dos dois lados

O episódio também é um caso de estudo sobre como a inteligência artificial↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → está mudando a segurança web. Humanos descobriram as vulnerabilidades primeiro, mas agentes de IA ajudaram a identificar como elas poderiam ser exploradas e apoiaram o processo de testar e validar as correções. Em post no blog da empresa, a OpenAI disse ter liderado, ao longo dos últimos dois meses, uma coalizão de pesquisadores e provedores de segurança para endereçar as falhas no PHP. Pesquisadores da Wiz, plataforma de segurança em nuvem, afirmam ter usado IA de forma independente para chegar às mesmas vulnerabilidades.

Não é tão fácil para quem defende quanto para quem ataca. Você encontra a vulnerabilidade em algo. Substitui. Mas substitui por quê? Existe uma alternativa corrigida, robusta, testada e aprovada?

It's not quite as easy for defenders as it is for attackers. You find the vulnerability in something. You replace it. But with what? Is there an alternative that is patched and robust and tested and approved?Charl van der Walt, chefe de pesquisa em segurança na Orange Cyberdefense

Sullivan vê o lado positivo do mesmo fenômeno:

Na verdade, vimos aqui um caso de uso bastante decente, em que a IA consegue descobrir vulnerabilidades críticas e a comunidade consegue se unir para corrigi-las.

We've actually seen quite a decent use case here where AI can discover some critical vulnerabilities and then the community can come together to remediate them.James Sullivan, diretor de cyber e tecnologia no Royal United Services Institute

Uma falha que dormiu desde 2024

Segundo a PHP Foundation, as vulnerabilidades já eram conhecidas desde pelo menos 2024. Uma equipe de segurança chegou a desenvolver várias abordagens concorrentes para resolver o problema, mas cada uma tinha desvantagens. Como não parecia haver um jeito prático de um atacante explorar a falha na época, o trabalho em uma correção definitiva estagnou. Alguns especialistas dizem que a descoberta original pode ser ainda mais antiga que 2024.

A fundação assumiu a responsabilidade pelo atraso:

Não vamos fingir que não: o atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos dela.

We won't pretend otherwise: the delay was a structural failure, caused by both the security team's decision process and its lack of resources.PHP Foundation, em comunicado

O que muda para quem roda PHP no Brasil

A reportagem da Associated Press não cita o Brasil entre os países com serviços derrubados, mas a exposição por aqui tende a acompanhar o tamanho do parque PHP nacional. WordPress domina boa parte do mercado de sites corporativos, blogs e portais de notícia no país; Drupal aparece com frequência em portais de prefeituras e órgãos públicos; e frameworks como Laravel e Symfony, que rodam sobre o interpretador PHP, sustentam parte relevante dos back-ends de e-commerce↳E-commerce21 conteúdosECBR Club: novo espaço para devs se conectarem ao ecossistema de e-commerceDev (Back & Front) · mai 2025TOTVS anuncia joint venture com VTEXMarketing Tech · mai 2019Jovens da Brasilândia recebem formação gratuita em tecnologiaGestão Dev & TI · jul 2025Ver tudo em Marketing Tech → e SaaS brasileiros.

Isso significa, na prática, que qualquer stack brasileira com PHP na base, seja um CMS pronto, seja uma aplicação própria, está potencialmente na mesma lista de risco dos sites citados na reportagem. Quem terceiriza hospedagem para provedores locais também depende de que esses provedores já tenham aplicado o patch em nível de servidor, não só no código da aplicação.

Checklist prático para quem administra PHP em produção

Diante do que foi divulgado até agora, alguns passos são urgentes para quem mantém sites ou aplicações em PHP:

• Verificar a versão do PHP em produção e confirmar, diretamente no site oficial do projeto, se o patch de segurança já está disponível para ela.
• Se usa WordPress, Drupal ou MediaWiki, checar os canais oficiais dessas plataformas para o patch específico, já que o conserto no núcleo do PHP não dispensa a atualização do CMS.
• Quando a correção ainda não estiver disponível ou testada, seguir a recomendação da PHP Foundation e tirar o serviço do ar temporariamente, em vez de manter um sistema com acesso não autenticado exposto.
• Revisar logs de acesso em busca de tentativas de exploração, já que, segundo van der Walt, agentes maliciosos estão varrendo a internet ativamente atrás de instâncias ainda vulneráveis.
• Testar o patch em ambiente de homologação antes de aplicar em produção, para evitar quebra de funcionalidade, um dos motivos citados pela reportagem para a demora de algumas organizações em concluir a atualização.

O que ainda está em aberto

A reportagem da Associated Press não detalha os identificadores técnicos das duas vulnerabilidades nem especifica quais versões exatas do PHP são afetadas, então administradores devem acompanhar os canais oficiais do projeto para esse nível de detalhe. Também não há, até o momento desta publicação, confirmação pública de exploração em massa no Brasil, o que não significa ausência de risco. Como lembra van der Walt, a tendência é de mais interrupções nas próximas semanas, à medida que o alcance real do problema fica mais claro.

Fonte: ET Tech (Índia)