Se você esteve na internet hoje, certamente viu o pânico: uma vulnerabilidade crítica ameaça comprometer praticamente todos os sites do planeta.A Finlândia começou a desativar sites governamentais na quarta-feira, a NSA está recomendando que todas as organizações que usam PHP desliguem seus sites, e a Holanda e a França fizeram o mesmo. E não, não foi uma guerra cibernética.O culpado foi o PHP, uma linguagem de programação da qual a maioria das pessoas nunca ouviu falar. Mas você quase certamente a usou hoje: ela é responsável por cerca de 70% de todos os sites cuja linguagem de servidor é conhecida, segundo a W3Techs.O PHP é o software que funciona nos bastidores do servidor de um site — o computador que armazena o site e constrói cada página que você solicita. Todo site WordPress, por exemplo, está hospedado em um servidor PHP, de acordo com a empresa de segurança WordPress Wordfence.Aliás, a Wordfence também está fora do ar.Duas falhas recentemente descobertas no próprio PHP permitem que um estranho execute seus próprios comandos no servidor sem precisar fazer login. Especialistas em segurança chamam isso de execução remota de código não autenticada. Para o resto, é como se alguém estivesse “no controle”.Se esse servidor armazena sua conta, seu endereço ou seu histórico de pedidos, bem, isso também passa a ser deles. A empresa de hospedagem GoDaddy alertou que as falhas podem permitir que invasores roubem dados, desfigurem sites ou assumam o controle total dos servidores.“Uma falha como essa pode permitir que um invasor execute seu próprio código em um servidor afetado pela internet, o que pode levar ao roubo de dados, à desfiguração de um site ou à tomada total do controle”, afirma a GoDaddy.O que a PHP anunciouA Fundação PHP, organização sem fins lucrativos que financia o desenvolvimento da linguagem, emitiu o alerta na terça-feira. Em um comunicado compartilhado no X, a equipe de segurança do PHP informou: “A equipe de segurança do PHP está avisando com antecedência: a próxima atualização de segurança será lançada na quarta-feira, 21 de outubro de 2026, às 14h UTC, corrigindo duas vulnerabilidades críticas, ambas classificadas como 9.2 no CVSSv4. Os usuários do PHP são aconselhados a se prepararem para atualizar. O lançamento será antecipado caso os detalhes se tornem públicos ou haja evidências de exploração ativa.”The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.— The PHP Foundation (@ThePHPF) October 20, 2026A classificação 9.2 vem do CVSS, o Sistema Comum de Pontuação de Vulnerabilidades, que avalia o quão perigosa uma vulnerabilidade é com base em fatores como a facilidade com que pode ser explorada pela internet e o dano que pode causar. A escala vai de 0 a 10, e qualquer valor acima de 9.0 é considerado crítico — portanto, essas duas vulnerabilidades são extremamente graves, quase atingindo a pontuação máxima de 10.A correção foi implementada por volta das 13h35 UTC de quarta-feira, alguns minutos antes do previsto, para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP. O aviso de segurança não se preocupou em ser sutil: “Todos os usuários do PHP são fortemente encorajados a atualizar imediatamente.”Mas lançar uma correção e fazer com que todos implementem a solução não são a mesma coisa, portanto, cautela é recomendada.Como os bugs funcionamO primeiro bug, CVE-2026-109618, se manifesta quando o PHP fica sem memória no meio do processamento de uma requisição e, posteriormente, trata esses dados parcialmente processados como se estivessem completos. O segundo, CVE-2026-109619, permite que os dados residuais da requisição de um visitante permaneçam na memória após o momento em que deveriam ter sido descartados, podendo causar problemas na próxima requisição.Imagine um cozinheiro que lê pedidos de comandas que já estão no lixo. Coloque uma comanda falsa na lixeira e o cozinheiro prepara o que você escreveu nela. Nesse caso, o “pedido” é o código do atacante e o servidor o executa.A PHP afirmou que o risco é maior em servidores que utilizam uma configuração comum do Apache chamada mod_php, onde uma vulnerabilidade demonstrada funciona “antes mesmo da execução de qualquer código da aplicação”. Em outras palavras, as próprias defesas do site, como telas de login e plugins de segurança do WordPress, sequer são ativadas.Pesquisadores da Fundação PHP apontaram o recurso de progresso de upload do PHP, que rastreia a quantidade de um arquivo enviado, como uma das formas confirmadas de acesso. Ele está ativado por padrão há mais de uma década e poucos sites o utilizam de fato.Um vazamento, seguido de ataquesNada disso deveria ser público ainda. Na terça-feira, alguém postou no fórum Hacker News que duas falhas do PHP seriam divulgadas naquela quinta-feira, admitindo que não tinha “nenhuma evidência além de ‘fonte: confie em mim, cara'”.Acontece que o cara estava certo. A empresa de segurança watchTowr confirmou que os bugs eram reais e estavam sob embargo — um acordo para manter os detalhes em sigilo até que uma correção esteja pronta — e a PHP antecipou seu lançamento em um dia.“Estamos vendo ataques iniciais emergindo e atualizando as medidas de mitigação à medida que novos vetores aparecem”, escreveu Dane Knecht, CTO da Cloudflare, no X na manhã de quarta-feira, quase seis horas antes do lançamento da atualização. A Cloudflare implementou regras de firewall de emergência, filtros que bloqueiam padrões de ataque conhecidos, para todos os clientes, mas Knecht as classificou como “apenas uma medida paliativa”.PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.We are seeing early attacks emerging and are updating mitigations as new vectors show… https://t.co/wMz9tDTWwH— Dane Knecht ? (@dok2001) October 21, 2026Governos desligam tudoO centro estatal de TI da Finlândia, Valtori, começou a desativar os serviços web públicos como medida de precaução, informou a emissora pública Yle, enquanto a agência nacional de cibersegurança holandesa tirou seu próprio site do ar.O Ministério do Interior da França afirmou que os sites das prefeituras foram “temporariamente desativados até que uma atualização de segurança seja lançada pela editora da estrutura”.O CERT-EU, a equipe de resposta a emergências cibernéticas da UE, orientou as organizações que não conseguiram aplicar a atualização a “considerar o isolamento de aplicativos voltados para a internet das redes públicas até que uma correção esteja disponível”. Em outras palavras, “desconecte tudo”. Agências na Austrália, Japão e Reino Unido disseram praticamente a mesma coisa, segundo a Reuters.O que as postagens virais erraramTópicos virais no X afirmavam que versões do PHP “datadas de 2004” eram vulneráveis. Isso remonta a estimativas iniciais de que tudo desde o PHP 5 era afetado, o que o CERT-EU admitiu ser baseado em postagens em mídias sociais.A empresa de segurança para e-commerce Sansec indica que o problema ocorre a partir do PHP 5.4. Portanto, em 2012, e não em 2004 — ainda assim, uma versão bem antiga.O PHP só lança atualizações oficiais para as versões 8.2 e posteriores, o que torna a afirmação de que “não há correção para versões antigas” parcialmente correta. Dado o quão grave é essa vulnerabilidade, sua equipe de segurança também publicou patches básicos de código-fonte para as versões 7.4, 8.0 e 8.1, e as distribuições Linux estão implementando correções retroativas por conta própria.A empresa de segurança Mallory contabilizou cerca de 884.000 servidores de hospedagem expostos à internet anunciando PHP 8.1 ou versões anteriores em 20 de outubro, o que representa 59% dos aproximadamente 1,5 milhão que exibem publicamente uma versão. Um único servidor de hospedagem compartilhada pode hospedar muitos sites, portanto, o número de sites por trás deles é ainda maior.Alguns tópicos também incluíram o Node.js, uma tecnologia web diferente que por acaso programou sua própria atualização de segurança, não relacionada à vulnerabilidade, para o mesmo dia. Péssima escolha de momento.Mesmo as versões corrigidas não chegarão a todos os servidores de uma só vez. “Se você depende do repositório voluntário https://rpms.remirepo.net, recomendamos que você migre para pacotes da sua distribuição ou compile a partir do código-fonte agora, para que possa aplicar as atualizações imediatamente. O repositório não terá atualizações hoje”, disse a PHP Foundation em seu comunicado, referindo-se a uma fonte popular de pacotes PHP para servidores Linux do tipo Red Hat, mantida por voluntários.Você deveria se preocupar?Você não deve entrar em pânico, mas também não deve ignorar o problema. Um site hackeado, por exemplo, não precisa acessar um blockchain para esvaziar sua carteira. Em 2024, invasores redirecionaram as interfaces dos protocolos DeFi Compound e Celer para páginas que drenaram as carteiras conectadas, e a Curve Finance sofreu um ataque semelhante em 2025.I pre-emptively disconnected ALL my sites / VPS servers from the webI'll wait for the patch to hit at 2 PM UTCIf you have a PHP website, probably good to take them down until you patch PHP69.3% of the web runs on PHP so this is going to be intense!Good time maybe to buy… https://t.co/xTXvLwuzrH— @levelsio (@levelsio) October 21, 2026Esses foram ataques de sequestro de DNS, não bugs do PHP, mas o truque é o mesmo: o site parece correto, a URL parece correta e o botão “aprovar” envia seus tokens para outro lugar. Um servidor comprometido pode exibir exatamente esse tipo de página.Hackers podem ser muito criativos e muito rápidos quando se trata de exploits de dia zero.Bugs como esses também estão se tornando mais fáceis de encontrar, com modelos de IA de ponta sendo cada vez mais usados para encontrar vulnerabilidades de software, e especialistas disseram ao Decrypt em junho que muitas outras vulnerabilidades podem surgir à medida que essas ferramentas se disseminam.O que acontece agora e o que fazer?Assim que uma correção é publicada, os atacantes podem comparar o código antigo e o novo para ver exatamente o que foi corrigido, e a equipe de perícia forense da empresa de cibersegurança Sansec disse que espera que “ataques em massa comecem em até 15 minutos após o lançamento”. Quando uma falha diferente do PHP foi divulgada em junho de 2024, a Akamai sofreu tentativas de exploração contra seus servidores de isca em 24 horas.Então, a pessoa comum deve entrar em pânico? Não exatamente. Seu celular, navegador e laptop não precisam de uma correção para o PHP; o trabalho recai sobre quem administra os sites que você usa.Se você administra um site, pergunte ao seu provedor de hospedagem se o PHP foi atualizado e não conte com o WordPress para fazer isso por você: a Wordfence alertou que as atualizações automáticas não aplicarão essa correção e orientou os proprietários de sites a descobrirem quem é o responsável por atualizar o PHP em seus servidores. Qualquer pessoa que esteja usando a versão 8.1 ou anterior precisa planejar uma atualização.“A única coisa que posso dizer é que a única solução é aplicar patches/atualizar o PHP”, disse Gina Peter Banyard, desenvolvedora do núcleo do PHP, no Mastodon. “Infelizmente, sei demais.”E se você estiver usando o PHP 8.2, a correção que você acabou de receber é uma das últimas: essa versão chega ao fim de sua vida útil em 31 de dezembro de 2026, após o qual não receberá mais patches de segurança.* Traduzido e editado com autorização do Decrypt.A porta de entrada para o bitcoin, a maior criptomoeda do mundo, está no MB. É simples, seguro e transparente. Deixe de adiar um investimento com potencial gigantesco. Invista em poucos cliques!O post Falhas graves colocam 70% da internet em risco e provocam alerta global apareceu primeiro em Portal do Bitcoin.