Duas falhas graves de segurança descobertas no PHP, linguagem de programação amplamente utilizada na internet, causaram instabilidade e forçaram governos e empresas ao redor do mundo a tirarem portais do ar nesta quarta-feira (21). O problema atinge a base de milhões de sites e sistemas corporativos que dependem da tecnologia, incluindo gerenciadores de conteúdo populares como WordPress, Drupal, Joomla e Magento.As vulnerabilidades receberam os códigos CVE-2026-109618 e CVE-2026-109619 e foram classificadas com nível crítico. De acordo com pesquisadores da empresa de segurança Wiz Research e agências internacionais, as falhas permitem que invasores realizem a execução remota de código sem precisar de nenhum tipo de autenticação ou senha. Dessa maneira, é possível assumir o controle total de um servidor apenas enviando requisições maliciosas. Falha crítica no PHP paralisa governos e exige atualização urgente Foto: Reprodução/PHP O cenário de alerta máximo se instaurou após informações detalhadas sobre os problemas vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores. Com o segredo revelado, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, o que levou autoridades e corporações a adotarem medidas drásticas de contenção.Autoridades da Europa emitem alerta severo para atualizações de sistemasO impacto foi imediato na Europa. O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu um alerta severo recomendando a aplicação imediata de correções ou, em caso de impossibilidade dela, a desconexão temporária de servidores expostos à internet.Seguindo as orientações, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais. Na Holanda, portais da previdência, de ministérios, a agência de cibersegurança do país e até sites de partidos políticos saíram do ar como medida preventiva. Na Finlândia, o provedor estatal de serviços de Tecnologia da Informação (TI) também isolou redes públicas para barrar riscos.PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free.We are seeing early attacks emerging and are updating mitigations as new vectors show… https://t.co/wMz9tDTWwH— Dane Knecht ?? (@dok2001) October 21, 2026 A Cloudflare informou ter interceptado ondas de ataques logo nas primeiras horas do dia. O Diretor de Tecnologia (CTO, na sigla em inglês) da empresa, Dane Knecht, destacou que a empresa acionou defesas emergenciais no firewall para proteger os clientes, mas reforçou que a medida é provisória:“Estamos vendo ataques iniciais surgindo e atualizamos as mitigações conforme novos vetores aparecem. Isso é apenas um paliativo. Atualizem assim que a equipe do PHP lançar a correção”, alertou Knecht.Por que as falhas no PHP são tão graves?A gravidade do problema está no fato de que a falha ocorre na base da linguagem, o que afeta o sistema responsável por rodar os códigos PHP, e não um plugin ou site específico. A empresa Wiz Research destacou que versões do sistema que datam desde o PHP 5 podem carregar o risco, pois permitem que invasores leiam dados sensíveis armazenados na memória dos servidores, como senhas, tokens de acesso e chaves de API.De acordo com os pesquisadores, a exploração pode acontecer “contra imagens de contêineres do WordPress, Drupal e Joomla” e “até mesmo um aplicativo simples em uma versão vulnerável do PHP pode ser explorado”.A empresa de segurança Patchstack e especialistas da Wordfence lembraram que atualizar os sites por dentro do painel de administração não resolve o problema. A responsabilidade recai sobre os administradores de servidores e provedores de hospedagem, que precisam aplicar as novas versões disponibilizadas pelo comitê gestor do PHP.A equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Desenvolvedores centrais da tecnologia, como Gina Peter Banyard, enfatizaram que não há soluções paliativas totalmente seguras e que a única proteção definitiva é a aplicação imediata dos patches de atualização em toda a infraestrutura afetada.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.