A revelação oficial da Fundação PHP trouxe à tona os bastidores turbulentos que antecederam a liberação das correções de segurança. Em comunicado detalhado divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves já era conhecida por desenvolvedores desde 2024. No entanto, o processo de reparo travou durante meses em debates internos sobre incompatibilidades técnicas, riscos de novas falhas e a escassez de programadores dedicados exclusivamente ao projeto. A organização reconheceu abertamente que a demora configurou uma falha de governança. “O atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos”, admitiu a fundação, em nota oficial.O cenário de vulnerabilidade ganhou contornos críticos nas semanas seguintes, impulsionado por auditorias auxiliadas por inteligência artificial (IA) e por relatórios de empresas como Calif, OpenAI e Wiz. Com o avanço das investigações, a prioridade passou a ser a reestruturação da equipe de segurança e a adoção de processos mais rápidos para aprovação de correções.We have posted more information about today's security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work. #php #security https://t.co/gbGTmk7yh1— The PHP Foundation (@ThePHPF) October 21, 2026 Apesar dos esforços de coordenação, o sigilo desmoronou dias antes do lançamento oficial. Nesta terça-feira (20), códigos de identificação circularam na internet e, horas depois, um vídeo com uma demonstração prática de invasão vazou na rede. A situação atingiu o limite quando a distribuidora Chainguard publicou imagens atualizadas com as correções antes do fim do prazo combinado, o que permitiu que criminosos analisassem o código binário de forma antecipada.A atitude gerou forte revolta entre profissionais da tecnologia nos fóruns on-line. Em discussões na comunidade do Reddit, administradores de sistemas e engenheiros criticaram severamente a quebra do acordo de confidencialidade pela distribuidora. Um usuário expressou indignação ao relatar que precisou desligar os servidores da empresa às pressas e ainda foi abordado por parceiros da companhia tentando vender serviços de segurança, desabafo que reuniu centenas de apoios na plataforma. Comment by u/elizabethn from discussion in PHP “Fomos contatados por afiliados da Chainguard usando nosso formulário de suporte público, perguntando se gostaríamos de agendar uma reunião com eles para que pudessem nos vender seus serviços de segurança. Ler que eles quebraram o embargo agora e, assim, colocaram metade da internet em risco me deixa furioso. Vou garantir que nossa empresa nunca trabalhe com eles”, relatou Arbaal.Para pesquisadores de segurança da informação e desenvolvedores independentes que integram o ecossistema de código aberto no Reddit, o episódio funciona como um chamado urgente para que empresas e governos revejam a forma como financiam tecnologias essenciais. Comment by u/elizabethn from discussion in PHP “Se cada empresa que lucra com PHP desse ao menos uma gota de apoio, a equipe teria recursos para lidar com essas questões de forma oportuna”, pontuou um dos desenvolvedores, em manifestação repercutida na comunidade técnica.Em sintonia, em nota oficial, a Fundação PHP destacou a urgência do apoio financeiro estruturado:As falhas que ameaçam milhões de servidoresAs vulnerabilidades que mobilizaram a comunidade de tecnologia receberam os códigos https://www.cve.org/CVERecord?id=CVE-2026-109618 e CVE-2026-109619, porém ficaram amplamente conhecidas pelo termo “PHP2Shell”. Ambas afetam partes centrais e cotidianas do motor da linguagem: a gestão de memória e o tratamento de erros.A primeira brecha (CVE-2026-109618) surge de um problema em situações de estouro de memória. Se uma requisição atingia o limite exato de consumo estipulado pelo sistema, o PHP deixava dados internos parcialmente inicializados e depois os tratava como válidos, o que corrompia a memória. A segunda (CVE-2026-109619) ocorria quando um erro fatal deixava o estado global apontando para espaços de memória já liberados e permitia que uma requisição posterior manipulasse esses dados.Na prática, as falhas permitiam que invasores sem qualquer senha ou autenticação executassem códigos maliciosos de forma remota em servidores vulneráveis. Como o problema atinge o motor principal do PHP, a brecha colocou sob risco imediato uma grande parcela de sites, lojas virtuais e portais corporativos em todo o mundo.Leia sobre o caso “PHP2Shell” de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.