Falha grave no PHP fez sites e serviços públicos saírem do ar

• Duas vulnerabilidades no PHP podem permitir interrupção de serviços, vazamento de dados e execução remota de código malicioso.
• As falhas CVE-2026-109618 e CVE-2026-109619afetam servidores que executam PHP 5.4 e versões posteriores, com gravidade 9,2 de 10.
• A atualização dos servidores é necessária, apesar de a Cloudflare ter implementado proteções automáticas em seu firewall de aplicações web.

Duas vulnerabilidades no PHP, linguagem de programação open source usada pela maioria dos sites, foram reveladas nesta quarta-feira (21/10). Elas podem permitir a interrupção de serviços, o vazamento de dados e até a execução remota de código malicioso. 

Os desenvolvedores voluntários do PHP escreveram em um comunicado hoje que os problemas têm gravidade 9,2 de uma escala de 10 e afetam servidores que executam PHP 5.4 e versões posteriores.

As falhas permitem que hackers controlem servidores de sites remotamente, sem precisar de senha, e estão relacionadas ao gerenciamento de memória durante o processamento de requisições HTTP. De acordo com os desenvolvedores, “não existem soluções definitivas; a atualização é a única opção segura”.

A Cloudflare, empresa de infraestrutura e segurança web, afirmou que também identificou as falhas, rastreadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas como php2shell. A companhia ativou proteções automáticas em seu firewall de aplicações web (WAF) cerca de nove horas antes da divulgação pública. A medida abrange usuários do plano gratuito que têm o recurso ativado, mas não dispensa a atualização dos servidores.

PHP está por trás de sites populares

O PHP é uma tecnologia usada na criação de sites e plataformas populares, como o WordPress, e está presente em cerca de 70% dos sites, segundo a Cloudflare. Por isso, as vulnerabilidades podem atingir diferentes tipos de páginas, de lojas virtuais e portais de notícias a sistemas governamentais. Serviços da Anatel, por exemplo, ficaram temporariamente inacessíveis hoje.

As falhas foram identificadas de forma independente meses atrás, pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT. Antes da divulgação oficial, porém, informações sobre os problemas vazaram, o que levou alguns sites a sair do ar temporariamente para que seus responsáveis atualizassem os servidores.

Falha grave no PHP fez sites e serviços públicos saírem do ar