Falhas críticas no PHP tiram sites do ar e forçam empresas a isolar servidores

Duas falhas críticas de segurança no PHP (Hypertext Preprocessor), linguagem de programação presente na base de milhões de sites e sistemas corporativos ao redor do mundo, forçaram governos e empresas a tirar portais do ar nesta quarta-feira (21).

As vulnerabilidades afetam gerenciadores de conteúdo amplamente utilizados, como WordPress , Drupal , Joomla e Magento .

O problema tem escala ampla porque as falhas estão na base da própria linguagem, e não em um plugin ou aplicação isolada.

Isso significa que qualquer sistema rodando versões vulneráveis do PHP pode estar exposto, independentemente do que esteja instalado sobre ele.

Execução remota sem senha As vulnerabilidades foram identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619 e receberam classificação crítica.

Segundo pesquisadores da Wiz Research e agências internacionais de segurança, as duas falhas permitem que invasores executem código remotamente em servidores sem qualquer tipo de autenticação.

Um atacante consegue assumir o controle total de uma máquina apenas enviando requisições maliciosas, sem precisar de senha ou credencial.

A Wiz Research afirma que versões do sistema desde o PHP 5 carregam o risco, permitindo que invasores leiam dados sensíveis armazenados na memória dos servidores, como senhas, tokens de acesso e chaves de interface de programação de aplicações (API).

A empresa ressaltou que “até mesmo um aplicativo simples em uma versão vulnerável do PHP pode ser explorado” e que a exploração pode acontecer “contra imagens de contêineres do WordPress, Drupal e Joomla”.

Leia também: CrowdStrike lista 8 práticas de segurança em IA que empresas devem evitar Vazamento acelerou os ataques O estado de alerta se intensificou após informações detalhadas sobre as vulnerabilidades vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores do PHP.

Com os detalhes técnicos expostos, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, o que levou autoridades e corporações a adotarem medidas de contenção imediatas.

O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu alerta severo recomendando a aplicação imediata das correções disponíveis ou, quando isso não fosse possível, a desconexão temporária dos servidores expostos à internet.

Seguindo as orientações do CERT-EU, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais.

Na Holanda, saíram do ar portais da previdência, de ministérios, a agência nacional de cibersegurança e sites de partidos políticos.