PHP recebe correções após falhas críticas ameaçarem sites
As vulnerabilidades permitem execução remota de comandos sem autenticação; pacotes de emergência já estão disponíveis para quatro versões da linguagem.
Resumo em 30 segundos
Duas falhas críticas no PHP podem permitir que invasores executem comandos remotamente sem autenticação. Após o vazamento antecipado dos detalhes, empresas e órgãos públicos retiraram sistemas do ar como precaução, incluindo o SEI da Anatel. A equipe do PHP publicou correções para quatro versões, e a atualização precisa ser feita nos servidores.
Duas vulnerabilidades críticas no PHP, linguagem usada na infraestrutura de quase 70% dos sites cuja tecnologia de servidor é conhecida, foram divulgadas na terça-feira (20). Para reduzir o risco de invasões, empresas e órgãos públicos desligaram servidores, e a Agência Nacional de Telecomunicações (Anatel) suspendeu temporariamente o acesso ao seu Sistema Eletrônico de Informações (SEI).
As falhas, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, podem permitir que invasores executem comandos remotamente sem autenticação. Segundo a GoDaddy, empresa de hospedagem, esse tipo de acesso pode resultar em roubo de dados ou na alteração de páginas de sites.
O problema está no núcleo da linguagem, e não em um plugin ou recurso específico. Por isso, pode atingir diferentes aplicações que utilizam PHP em servidores com versões vulneráveis, entre a 5.4 e a 8.5.11. A correção depende da atualização do PHP na infraestrutura, tarefa que cabe aos administradores dos sistemas ou aos provedores de hospedagem.
A equipe responsável pelo desenvolvimento do PHP publicou pacotes de emergência para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A PHP Foundation, que apoia desenvolvedores da linguagem, recomendou que usuários instalem as atualizações imediatamente. A GoDaddy informou que corrigiu as versões usadas em seu serviço de hospedagem gerenciada para WordPress.
As falhas não foram identificadas pela primeira vez nesta semana. A empresa de segurança Calif comunicou uma vulnerabilidade de execução remota de código associada à mesma causa em 11 de agosto. Na mesma data, a OpenAI encontrou o problema de forma independente. A equipe Wiz Research também realizou uma descoberta própria e reportou os resultados à equipe de segurança do PHP em 24 de agosto.
Os detalhes das descobertas vazaram na internet na terça-feira, antes do momento previsto para a divulgação. O vazamento levou organizações a retirar sistemas do ar como medida preventiva, enquanto as correções eram disponibilizadas e aplicadas.
PHP, sigla de Hypertext Preprocessor, é uma linguagem de programação de código aberto voltada ao desenvolvimento de sites. Ela permite inserir código em páginas HTML e é utilizada por plataformas de gerenciamento de conteúdo, como WordPress e Drupal, além de ser compatível com bancos de dados como MySQL, MongoDB e PostgreSQL.
A linguagem tem diversas versões em uso. Segundo o levantamento citado pela W3Techs, 65,2% dos sites que usam PHP estão na versão 8. Como o problema está na própria linguagem, atualizar um plugin ou uma aplicação específica não substitui a instalação do pacote corrigido no servidor.
