Equipes de segurança e administradores de sistemas em todo o mundo correm para evitar uma crise de grandes proporções. Na quarta-feira, os desenvolvedores da popular linguagem de programação PHP lançaram atualizações emergenciais para corrigir falhas críticas que poderiam permitir que invasores assumissem o controle de sistemas vulneráveis.
A PHP Foundation detalhou duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619. Elas afetam “todas as instalações do PHP que atendem a solicitações da web”, desde a versão 5, lançada em julho de 2004. Segundo o alerta, porém, apenas o PHP 8.2 e versões posteriores ainda são suportados e receberão patches. A fundação ressalvou que algumas distribuições do PHP e fornecedores terceirizados continuam oferecendo correções para versões antigas.
Essa ressalva é importante porque camadas fundamentais e amplamente utilizadas da internet, como o PHP, podem continuar esquecidas e sem atualização em infraestruturas antigas.
“Não há medidas de mitigação completas. Atualizar é a única opção segura”, escreveu a PHP Foundation em seus avisos. Especialistas em segurança alertam para as possíveis consequências graves de deixar sistemas sem correção.
“Isto não é um teste”, afirma Lukasz Olejnik, consultor independente de segurança e pesquisador sênior visitante no King’s College London. Desde sua criação, nos anos 1990, o PHP se tornou uma linguagem essencial para o desenvolvimento de sites e é usado em boa parte da internet, em sites e aplicações. De sistemas de gerenciamento de conteúdo, como WordPress e Drupal, a plataformas de comércio eletrônico, como o Magento, da Adobe, muitos serviços são desenvolvidos em PHP.
Olejnik compara o uso disseminado da linguagem a uma infraestrutura crítica.
“O impacto é enorme”, diz ele sobre as falhas de segurança do PHP. Milhões de sistemas podem ser afetados, acrescenta. “Especialmente se os invasores começarem a explorar essas vulnerabilidades rapidamente. No pior cenário, um malware capaz de se propagar como um worm pode atingir grandes partes da internet.”
O principal temor de equipes de segurança e desenvolvedores é que invasores explorem rapidamente as vulnerabilidades em sistemas ainda não corrigidos. A Cloudflare, empresa de infraestrutura da internet, informou que já “observava o surgimento dos primeiros ataques” antes de a PHP Foundation detalhar as vulnerabilidades e divulgar as correções. “Esperamos que ataques em massa comecem em até 15 minutos após a divulgação”, escreveu a empresa de segurança Sansec antes do lançamento das correções, pouco antes das 10h, no horário da Costa Leste dos Estados Unidos, na quarta-feira.
“A maior parte da internet funciona com PHP, e essa falha está em uma interface de envio de arquivos que equivale a uma porta de entrada sem fechadura”, afirma Davi Ottenheimer, consultor de longa data em segurança e conformidade. “O invasor não precisa saber qual site está atacando, nem mesmo qual programa está sendo executado nele. Basta enviar um arquivo preparado para qualquer servidor que encontrar. Esse é todo o ataque.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...