bolt IA e tecnologia · 7 min
A falha no PHP que fez governos tirarem sites do ar — e o que fazer agora
flash_on Em 20 segundos
As duas falhas têm nota 9,2 (CVSS 4.0), na faixa crítica.
Um invasor remoto pode executar comandos no servidor sem estar autenticado.
Tentativas desde 17/out; em 26/out a agência americana CISA as incluiu na lista de falhas exploradas.
Plugins e temas não corrigem: é preciso atualizar o próprio PHP e reiniciá-lo.
Em 21 de outubro de 2026, a Fundação PHP lançou correções de emergência para duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, apelidadas de PHP2Shell. Com elas, um invasor pode executar comandos no servidor de um site sem precisar de login. O PHP move uma fatia enorme da internet: o TechCrunch cita cerca de 70% dos sites, estimativa que vem caindo, e que inclui WordPress, lojas virtuais e muitos portais.
A reação foi rápida. Segundo a imprensa, sites públicos na Alemanha, França, Bélgica, Holanda e Finlândia saíram do ar por precaução, e a Holanda suspendeu temporariamente o DigiD, o acesso dos cidadãos a serviços do governo. No Brasil, o CTIR Gov publicou um alerta pedindo que órgãos localizem sistemas em PHP e instalem as correções. Até 24 de outubro, o TechCrunch relatava que um ataque em massa ainda não estava confirmado, mas as tentativas já eram reais, e muitos servidores seguem sem correção.
schedule O que aconteceu, dia a dia
- ~17/outA Amazon detecta a primeira tentativa de exploração, quatro dias antes do anúncio público.
- 21/outO PHP lança as versões corrigidas. A Fundação PHP diz que uma empresa publicou os patches horas antes do fim do prazo combinado de sigilo.
- 21–22/outGovernos e empresas retiram sites do ar por precaução. A Cloudflare relata um aumento forte nas tentativas de exploração.
- 23–26/outA Trail of Bits confirma exploits funcionando contra PHP 8.2 a 8.5 sem correção.
- 26/outA CISA inclui as duas falhas no catálogo de vulnerabilidades exploradas (KEV); órgãos federais americanos têm até 29/out para corrigir.
translate O que é isso, sem jargão
O PHP é a “linguagem” que faz muitos sites funcionarem: ele recebe o seu pedido, busca os dados e monta a página. Ele roda dentro do servidor, e é por isso que uma falha nele vale mais do que uma falha em um plugin: quem a explora fica no comando do servidor inteiro.
São duas falhas de gerenciamento de memória. Na primeira, quando a memória do servidor se esgota no meio de um pedido, o PHP limpa dados que ainda estavam pela metade e trata o que sobrou como se fosse válido. Na segunda, informação deixada por um pedido anterior aponta para memória que já foi liberada, e o pedido seguinte acaba usando esse “lixo”. Com técnica suficiente, um invasor transforma esse deslize em execução de comandos, a chamada execução remota de código (RCE). Daí o apelido: PHP + shell, a linha de comando do servidor.
person_alert Como isso pode afetar a sua vida
- Sites que você usa (loja, banco, prefeitura, hospital, jogos) podem sair do ar por horas ou dias enquanto são corrigidos.
- Se o servidor de um site for tomado, o invasor pode ler dados que estão na memória e no banco. Por isso quem administra sistemas deve trocar senhas e chaves, e você deve trocar a senha de serviços que avisarem de incidente.
- Se você tem um site, blog ou loja (WordPress e similares), ele pode ser usado para golpes, spam, redirecionar visitantes ou esconder programas maliciosos, e o Google pode marcá-lo como perigoso.
- O PHP também vem embutido em outros produtos: o TechCrunch cita componentes de roteadores, equipamentos de armazenamento, firewalls e VPNs. Nem sempre é óbvio que existe PHP ali.
- Golpistas aproveitam o medo. Desconfie de e-mails e mensagens dizendo que o seu site ou conta foi invadido e pedindo senha, pagamento ou instalação de programa.
shield Quem está em risco
A falha mais antiga que os pesquisadores encontraram remonta ao PHP 5.4. Veja a situação por versão:
- PHP 8.5 antes da 8.5.12, 8.4 antes da 8.4.27, 8.3 antes da 8.3.36, 8.2 antes da 8.2.35: vulneráveis. Corrija atualizando para essas versões ou mais novas.
- PHP 7.4 a 8.1: sem versão oficial de correção, apenas backports de alguns fornecedores. Pergunte à sua hospedagem ou migre.
- PHP 5.4 a 7.3: fim de vida, sem correção do PHP. Migre.
- Ubuntu, Debian, CloudLinux e cPanel costumam manter o número antigo e corrigir “por dentro” do pacote, então veja o aviso do fornecedor e não só o número da versão.
checklist O que fazer agora: se você tem um site
- Descubra a versão do PHP que atende o seu site: no painel da hospedagem (no cPanel, “Select PHP Version”) ou pergunte ao suporte. Cuidado: o comando php -v mostra o PHP da linha de comando, que pode ser diferente do que atende o site.
- Atualize para uma versão corrigida (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou mais nova) ou instale o pacote corrigido do seu fornecedor.
- Reinicie os processos do PHP. Instalar o pacote não corrige um processo que já está rodando.
- Não confie em configurações provisórias: elas reduzem o risco, mas não tornam a instalação segura.
- Está em PHP 8.1 ou anterior sem suporte? Migre para uma versão suportada (de preferência 8.4 ou 8.5). Se não for possível agora, considere tirar o site do ar ou colocar em manutenção até resolver.
- Procure sinais de invasão, principalmente desde 17/out: arquivos novos e estranhos, processos do PHP abrindo comandos ou baixando programas, tráfego anormal. Se achar algo, não apague: preserve as evidências e chame um especialista.
- Troque senhas e chaves do servidor (banco de dados, e-mail, APIs). Se você usa o UpdraftCentral no WordPress, apague as chaves dele: a Patchstack relata invasores usando chaves válidas para instalar backdoors.
- Um firewall de aplicação (WAF), como o da Cloudflare, é um quebra-galho, não a solução: só protege o tráfego que passa por ele.
person E se eu só uso a internet?
- Use senhas diferentes em cada serviço e ative a verificação em duas etapas.
- Se uma loja ou serviço avisar de incidente, troque a senha e fique de olho nas movimentações.
- Mantenha celular e computador atualizados e não instale nada a partir de um e-mail “de segurança”.
hub Não é só o PHP: o que isso mostra
Esta não é a primeira vez que uma peça escondida debaixo de tudo ameaça meio mundo. O Heartbleed (2014) estava no OpenSSL, que protege conexões seguras. O Log4Shell (2021) estava no Log4j, uma biblioteca de registros em Java usada em milhões de sistemas. Em 2024, uma porta dos fundos foi plantada no XZ Utils, um utilitário de compressão presente em muitos servidores Linux, e só foi descoberta por acaso.
O padrão se repete: componentes que ninguém vê, software antigo difícil de atualizar e falhas de memória em linguagens que não protegem o programador desse tipo de erro. O TechCrunch observa que a migração para linguagens mais seguras avança, mas está incompleta, e que pesquisadores dizem que ferramentas de IA aceleram a descoberta de falhas; a Calif e a Wiz, que acharam estas, usaram IA no trabalho. Nenhuma tecnologia é imune.
O que ajuda em qualquer caso: saber o que você roda (sistema do servidor, WordPress e plugins, bibliotecas, contêineres, até o roteador), ter quem acompanhe os alertas e atualizar rápido.
menu_book Glossário
- RCE (execução remota de código)
- Quando um invasor consegue mandar o servidor executar comandos à distância.
- CVE
- Número de catálogo público de uma falha de segurança. Aqui, CVE-2026-109618 e CVE-2026-109619.
- CVSS
- Nota de gravidade de 0 a 10. Acima de 9 é crítico; estas têm 9,2.
- Patch
- Correção do fabricante que conserta a falha.
- mod_php / PHP-FPM
- Formas de o servidor web rodar o PHP. O PHP considera o mod_php do Apache o de maior risco.
- Use-after-free
- Erro em que o programa usa memória que já foi devolvida ao sistema, o que pode ser aproveitado por invasores.
- Exploit
- Código ou técnica que se aproveita de uma falha.
- KEV
- Catálogo da CISA de falhas que já estão sendo exploradas na prática.
- WAF
- Firewall de aplicação: filtro que tenta barrar pedidos maliciosos antes de chegarem ao site.
- Backdoor / webshell
- Porta dos fundos deixada por um invasor para voltar ao servidor depois.
help O que ainda não se sabe
- Quantos sites foram de fato invadidos: até 24/out, um ataque em massa não estava confirmado
- Como a exploração começou antes do anúncio (vazamento, descoberta independente ou espionagem): nada confirmado
- Se as versões 7.4 a 8.1 receberão correção completa dos fornecedores
forum Perguntas frequentes
Meu site é WordPress. Atualizar plugins e temas resolve?expand_more
Não. A falha está no PHP, que roda por baixo do WordPress. Só a atualização do PHP (ou o pacote corrigido do seu fornecedor) resolve, seguida de reinício.
Como descubro a versão do PHP do meu site?expand_more
Pelo painel da hospedagem (no cPanel, Select PHP Version) ou perguntando ao suporte. O comando php -v mostra a versão da linha de comando, que pode ser diferente da que atende o site.
Isso já está sendo usado em ataques?expand_more
Sim, há exploração observada: a Amazon registrou uma tentativa em 17/out, e a CISA incluiu as falhas no catálogo de vulnerabilidades exploradas em 26/out. Um ataque em massa confirmado, porém, não havia sido relatado até 24/out.
Preciso fazer algo se eu só uso sites e aplicativos?expand_more
Você não precisa instalar nada por causa disso, mas vale usar senhas diferentes em cada serviço, ativar a verificação em duas etapas e desconfiar de mensagens de “segurança” pedindo senha ou pagamento.
Minha hospedagem usa PHP 7.4. E agora?expand_more
O PHP não lançou correção oficial para a série 7.4 a 8.1. Pergunte à hospedagem se há correção própria e planeje migrar para uma versão suportada (8.4 ou 8.5).
newspaper Leia também
link Fontes (6)
- CISA — Critical Vulnerabilities in PHP Require Immediate Patching
- Tenable — php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ
- TechCrunch — PHP-ocalypse: How two critical web bugs almost broke the internet
- Patchstack — Major security alert: PHP vulnerable to critical RCE, attacks ongoing
- Gazeta do Povo — Falha de segurança leva governos e empresas a tirar sites do ar em vários países
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
Como fazemos: só fatos que estão nas fontes citadas; citações conferidas palavra por palavra; sem opinião nem previsão. Texto escrito com apoio de inteligência artificial e revisado por regras automáticas.