Uma falha de segurança considerada crítica em uma das linguagens de programação mais utilizadas da internet provocou preocupação entre empresas, governos e especialistas em cibersegurança nesta semana. O problema envolve o PHP, tecnologia utilizada no funcionamento de milhões de páginas e sistemas digitais.
A PHP Foundation, organização que apoia o desenvolvimento da linguagem, confirmou que os primeiros sinais das vulnerabilidades haviam sido identificados em 2024, aproximadamente dois anos antes da divulgação das correções.
Em manifestação divulgada após o alerta internacional, a entidade atribuiu a demora a limitações financeiras, à disponibilidade reduzida de desenvolvedores especializados e a dificuldades no processo de decisão sobre as alterações necessárias.
Na quarta-feira, 21 de outubro, organizações de diferentes países suspenderam temporariamente o acesso a determinados serviços digitais como medida de precaução.
PHP é uma linguagem de programação utilizada principalmente para desenvolver aplicações e páginas da internet.
Ela funciona nos servidores responsáveis pelo processamento de informações, permitindo executar operações necessárias ao funcionamento de diversos serviços digitais.
A tecnologia está presente em plataformas de gerenciamento de conteúdo, sistemas administrativos, lojas virtuais e outras aplicações utilizadas diariamente por empresas e instituições públicas.
Por sua ampla utilização, problemas de segurança relacionados ao PHP podem afetar um número significativo de organizações.
Entretanto, isso não significa que todos os sites desenvolvidos com a linguagem tenham sido comprometidos.
O risco depende de fatores como a versão instalada, a configuração do servidor e a aplicação das atualizações de segurança.
As duas falhas identificadas receberam os códigos CVE-2026-109618 e CVE-2026-109619.
Segundo o alerta publicado pela equipe de desenvolvimento do PHP, ambas poderiam permitir a execução remota de comandos sem necessidade de autenticação prévia.
Na prática, isso significa que, em determinadas condições, um invasor poderia explorar o problema para executar instruções no servidor responsável pelo funcionamento de uma aplicação.
Esse tipo de vulnerabilidade é considerado especialmente perigoso porque pode comprometer a segurança dos dados e dos sistemas envolvidos.
As falhas receberam classificação crítica, com pontuação de 9,2 na escala CVSS 4.0, utilizada para avaliar a gravidade de vulnerabilidades.
A PHP Foundation informou que os primeiros indícios das vulnerabilidades foram encontrados durante uma auditoria externa realizada em 2024 pela empresa francesa Quarkslab.
A partir daquela descoberta, começaram os trabalhos de investigação e correção.
Entretanto, a elaboração de uma solução segura enfrentou dificuldades técnicas.
Algumas alternativas poderiam provocar incompatibilidades com sistemas existentes ou prejudicar o funcionamento de aplicações e extensões desenvolvidas ao longo dos anos.
Segundo a organização, a necessidade de avaliar esses riscos contribuiu para que o processo fosse interrompido e retomado em diferentes momentos.
A ausência inicial de uma demonstração conhecida de exploração remota também influenciou a avaliação do problema.
Além das dificuldades de desenvolvimento, a PHP Foundation reconheceu problemas relacionados à estrutura da equipe responsável pela segurança.
O trabalho dependia de um grupo reduzido de especialistas com conhecimento aprofundado dos componentes internos da linguagem.
A entidade também destacou que o modelo de financiamento do projeto depende de contribuições e recursos destinados à manutenção de uma tecnologia amplamente utilizada.
Outro problema identificado foi o processo de tomada de decisões, que exigia consenso entre os participantes.
A combinação desses fatores contribuiu para atrasar a disponibilização de uma correção definitiva.
As vulnerabilidades ganharam maior atenção depois que pesquisadores de segurança conseguiram demonstrar novas possibilidades de exploração.
Empresas como Calif, Wiz e OpenAI participaram de investigações relacionadas aos problemas.
Ferramentas avançadas de inteligência artificial foram utilizadas para auxiliar a análise do código e identificar possíveis caminhos de exploração.
O episódio evidencia como essas tecnologias podem acelerar pesquisas de segurança.
Entretanto, os mesmos recursos também podem aumentar os riscos quando informações sobre falhas são utilizadas por agentes mal-intencionados.
A PHP Foundation destacou a necessidade de aperfeiçoar seus procedimentos diante do crescimento da capacidade de identificação de vulnerabilidades por sistemas automatizados.
No Brasil, o Ministério da Gestão e da Inovação em Serviços Públicos informou que órgãos federais receberam orientações de segurança após o alerta internacional.
A recomendação inicial foi suspender temporariamente o acesso externo a sistemas potencialmente afetados, reduzindo a exposição enquanto as equipes técnicas avaliavam as medidas necessárias.
Entre os serviços atingidos pela suspensão preventiva esteve o Sistema Eletrônico de Informações (SEI), utilizado na tramitação de processos administrativos.
O ministério explicou que, durante a indisponibilidade temporária, documentos urgentes poderiam ser encaminhados por meios alternativos, conforme os procedimentos administrativos.
A pasta também esclareceu que a plataforma GOV.BR e os principais sites governamentais continuaram funcionando normalmente, pois utilizam outras tecnologias.
A equipe responsável pelo PHP publicou atualizações de segurança na quarta-feira, 21 de outubro.
As versões corrigidas incluem PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
A orientação oficial é que os administradores de sistemas utilizem versões corrigidas e compatíveis com suas aplicações.
Segundo os desenvolvedores, não existem medidas alternativas capazes de eliminar completamente os riscos das duas vulnerabilidades.
Por esse motivo, a atualização do software é considerada a principal providência para corrigir os problemas.
Também é importante que as equipes técnicas verifiquem a compatibilidade das aplicações e acompanhem eventuais alertas de segurança.
Após a repercussão internacional, a PHP Foundation anunciou medidas para melhorar a resposta a vulnerabilidades.
Entre elas estão a criação de uma equipe dedicada à segurança e a contratação de dois engenheiros.
A organização também pretende substituir o modelo de decisões por consenso por um sistema de votação majoritária, buscando tornar os procedimentos mais ágeis.
As mudanças procuram evitar que falhas críticas permaneçam por longos períodos sem uma solução disponível.
A entidade também defende maior financiamento para os projetos responsáveis pela manutenção de tecnologias de código aberto.
O caso demonstra que vulnerabilidades podem permanecer durante anos em tecnologias utilizadas diariamente por milhões de pessoas.
Mesmo projetos amplamente adotados dependem de equipes especializadas, recursos financeiros e procedimentos adequados de manutenção.
Para empresas e órgãos públicos, o episódio reforça a importância de acompanhar alertas oficiais, manter versões atualizadas e realizar avaliações periódicas de segurança.
Também evidencia a necessidade de procedimentos de contingência para serviços digitais considerados essenciais.
A disponibilização das correções em 21 de outubro representa uma etapa importante para reduzir os riscos, mas a proteção efetiva dependerá de sua instalação nos sistemas afetados.