Falha crítica no PHP paralisa governos e exige atualização urgente

Duas falhas graves de segurança descobertas no PHP, linguagem de programação amplamente utilizada na internet, causaram instabilidade e forçaram governos e empresas ao redor do mundo a tirarem portais do ar nesta quarta-feira (21).

O problema atinge a base de milhões de sites e sistemas corporativos que dependem da tecnologia, incluindo gerenciadores de conteúdo populares como WordPress , Drupal , Joomla e Magento .

As vulnerabilidades receberam os códigos CVE-2026-109618 e CVE-2026-109619 e foram classificadas com nível crítico.

De acordo com pesquisadores da empresa de segurança Wiz Research e agências internacionais, as falhas permitem que invasores realizem a execução remota de código sem precisar de nenhum tipo de autenticação ou senha.

Dessa maneira, é possível assumir o controle total de um servidor apenas enviando requisições maliciosas.

Falha crítica no PHP paralisa governos e exige atualização urgente Foto: Reprodução/PHP O cenário de alerta máximo se instaurou após informações detalhadas sobre os problemas vazarem na internet antes do prazo oficial de divulgação planejado pelos desenvolvedores.

Com o segredo revelado, cibercriminosos iniciaram varreduras automatizadas e tentativas de invasão em massa, o que levou autoridades e corporações a adotarem medidas drásticas de contenção.

Autoridades da Europa emitem alerta severo para atualizações de sistemas O impacto foi imediato na Europa.

O Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) emitiu um alerta severo recomendando a aplicação imediata de correções ou, em caso de impossibilidade dela, a desconexão temporária de servidores expostos à internet.

Seguindo as orientações, órgãos governamentais na Holanda e na Finlândia suspenderam o acesso público a serviços essenciais .

Na Holanda, portais da previdência, de ministérios, a agência de cibersegurança do país e até sites de partidos políticos saíram do ar como medida preventiva.

Na Finlândia, o provedor estatal de serviços de Tecnologia da Informação (TI) também isolou redes públicas para barrar riscos.

PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities.

The rules are available to all customers, including free.