O PHP (Hypertext Preprocessor) virou assunto nesta quarta-feira (21) após duas vulnerabilidades críticas chegarem ao conhecimento público. As falhas fizeram governos e empresas do mundo inteiro tirarem sites do ar para evitar que o problem escalasse. Mas o que significa PHP?O PHP é uma linguagem de programação de código aberto criada especialmente para desenvolvimento web. Ela é uma das soluções mais populares do mundo, usada por quase 70% dos sites cuja linguagem do lado do servidor é conhecida, segundo levantamento do W3Techs.A linguagem não está disponível em uma única versão, porém – a versão estável mais recente é a PHP 8.5. Conforme o levantamento, 65,2% dos sites que usam PHP estão estruturados na versão 8. A linguagem é de código aberto e uso gratuito, sendo desenvolvida pela comunidade e por desenvolvedores apoiados pela PHP Foundation. Por que o PHP é tão popular?O PHP é relativamente fácil de aprender e permite inserir código diretamente no HTML. O amplo ecossistema da linguagem também a torna mais atrativa, já que soluções para problemas, ferramentas e outros recursos são facilmente encontrados pela web.Além disso, a linguagem oferece considerável potencial de escalabilidade – importante para o gerenciamento de altas cargas de tráfego – e também se relaciona bem com sistemas de gerenciamento de bancos de dados comuns, como MySQL, MongoDB e PostgreSQL. O PHP está presente na estrutura de 70% dos sites cuja linguagem de programação é conhecida. Foto: W3Techs/Reprodução Entre os softwares desenvolvidos em PHP estão grandes plataformas de gerenciamento de conteúdo, como WordPress e Drupal, que servem como base para vários sites e blogs da internet. No Brasil, sites de grandes serviços também usam PHP em algum nível.Quais foram as vulnerabilidades encontradas no PHP?As duas vulnerabilidades de segurança críticas encontradas no PHP foram a CVE-2026-109618 e a CVE-2026-109619. Como noticiado pelo TecMundo, as brechas podem permitir a execução remota de código por criminosos sem exigir nenhum tipo de autenticação.CVE-2026-109618 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP utiliza a função longjmp() em casos de erros por falta de memória (OOM, na sigla em inglês) para sair do contexto atual e interromper o processamento da requisição. Alguns contextos podem não lidar adequadamente com esse cenário, deixando a memória da requisição em um estado não inicializado antes de realizar uma alocação. O procedimento de limpeza da requisição, executado na sequência, lê essa memória e a utiliza para determinar o fluxo de execução. Diferentes estratégias relacionadas a erros de falta de memória podem desencadear essa condição de forma consistente, possibilitando a execução remota de código;CVE-2026-109619 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP possui diversos estados globais que apontam temporariamente para a memória de uma requisição. Em alguns cenários, um estado global pode não ser redefinido corretamente ou pode ser repopulado após a redefinição. Assim, o estado global pode acabar referenciando uma memória que já foi liberada. Requisições subsequentes podem ler esse estado obsoleto – ou tomar decisões com base nele – antes que ele seja totalmente inicializado. Diversas estratégias podem desencadear essa condição e resultar em execução remota de código.Contudo, as brechas não foram descobertas hoje. Em 11 de agosto deste ano, a empresa de segurança Calif reportou uma vulnerabilidade de execução remota de código relacionada à mesma causa raiz. No mesmo dia, a OpenAI fez uma descoberta independente relacionada ao problema. A Wiz Research também encontrou as falhas em uma pesquisa independente e reportou seus achados à equipe de segurança do PHP em 24 de agosto.Então, na última terça-feira (20), os detalhes das descobertas vazaram online antes do previsto. Para evitar que os sistemas sejam invadidos, empresas e entidades governamentais desligaram servidores.As falhas estão contidas no núcleo do PHP, e não em um plugin ou componente específico. Por isso, instalações vulneráveis podem ser afetadas independentemente da aplicação executada sobre a linguagem. O problema está presente em versões do PHP entre a 5.4 e a 8.5.11.De acordo com a GoDaddy, provedora de hospedagem na web, a execução remota de código pode resultar em roubo de dados ou deface (vandalização de páginas), por exemplo. Por se tratar de um problema no próprio PHP, a correção exige a atualização da linguagem no servidor, tarefa que cabe aos administradores da infraestrutura ou aos provedores de hospedagem.As falhas também afetaram sites brasileiros. O Sistema Eletrônico de Informações (SEI) da Agência Nacional de Telecomunicações (Anatel) foi tirado do ar temporariamente para evitar o acesso indevido.Correção de emergência foi liberadaApós a descoberta, a equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Vários administradores e provedores de hospedagem já implementaram as correções – a GoDaddy, por exemplo, corrigiu as versões PHP na Hospedagem Gerenciada para WordPress.“Se você usa PHP, é imperativo atualizá-lo imediatamente”, alertou a PHP Foundation, que financia desenvolvedores que contribuem com a linguagem.Agora, cabe às equipes de desenvolvimento cujos projetos sejam estruturados com PHP se atentarem à correção e, se necessário, aplicá-la. O processo de correção varia conforme a infraestrutura adotada e, em alguns casos, acontece de forma automática.Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre cibersegurança, PHP e segurança na web.