Falha no PHP: entenda a gravidade e como hackers podem usá-la

Uma falha crítica no PHP, linguagem que sustenta boa parte dos sites do mundo, levou órgãos públicos e empresas a tirarem serviços do ar para evitar invasões - e o problema também atingiu sistemas no Brasil, como o da Anatel .

Duas vulnerabilidades no PHP permitem execução remota de código sem autenticação. Na prática, invasores podem enviar requisições maliciosas e assumir o controle de servidores vulneráveis, com risco de roubo de dados e instalação de malware.

Na prática, invasores poderiam executar códigos maliciosos nos sistemas afetados, incluindo a instalação de web shells, obtendo assim o controle sobre os servidores vulneráveis Sergey Lozhkin, chefe do centro de pesquisa da empresa de cibersegurança Kaspersky

As falhas foram identificadas como CVE-2026-109618 e CVE-2026-109619 e foram descobertas com auxílio de inteligência artificial. A detecção acelerou o alerta global porque o PHP é usado em grande escala e está por trás de plataformas como WordPress, Drupal, Joomla, Magento e PrestaShop.

A gravidade foi classificada como 9,2 em dez na escala CVSS v4.0. O CERT-EU (Centro de Resposta a Incidentes de Segurança da União Europeia) recomendou aplicar correções imediatamente ou, se isso não for possível, desconectar temporariamente servidores expostos à internet.

Governos e empresas tiraram sites do ar como medida preventiva, o que não significa necessariamente que eles tenham sido hackeados. A orientação é reduzir a janela de risco enquanto as atualizações são aplicadas.

No Brasil, a Anatel retirou do ar temporariamente o SEI (Sistema Eletrônico de Informações). Também houve relatos de instabilidades em sistemas de tribunais de justiça, como no TRF-1 (Tribunal Regional Federal da 1ª Região) e no TRF-6 (Tribunal Regional Federal da 6ª Região), com possibilidade de impacto em prazos processuais.

Explorar a brecha pode dar acesso direto ao sistema de arquivos ou ao banco de dados do servidor. Isso abre caminho para vandalizar páginas, roubar informações e, em cenários mais graves, comprometer totalmente o ambiente.

Uma única falha na base do PHP pode expor milhões de servidores ao mesmo tempo. Empresas de infraestrutura digital relataram tentativas iniciais de exploração, e a Cloudflare disse que os primeiros ataques começaram a aparecer.

Sites menores tendem a ficar mais tempo vulneráveis, especialmente em hospedagem compartilhada. Nesses casos, o dono do site nem sempre controla a atualização do PHP e pode não perceber que precisa agir, o que pode transformar páginas em vetores para spam, vírus e conteúdo malicioso.

O PHP é uma linguagem usada "nos bastidores" para montar páginas dinâmicas. Em vez de entregar sempre o mesmo conteúdo, o servidor consulta banco de dados, checa login e personaliza o que aparece na tela antes de enviar a página ao navegador.

A linguagem é gratuita, de código aberto e mantido por voluntários, e muitos donos de sites nem interagem diretamente com ele. Por isso, quando surge uma vulnerabilidade crítica, o efeito se espalha por serviços públicos, lojas online, blogs e portais de notícia.

Na Europa, o impacto levou a interrupções em sites e serviços digitais de governos.