Duas vulnerabilidades críticas no PHP ameaçam milhões de sites e aplicações em todo o mundo. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 no sistema CVSS v4.0, e as correções emergenciais estão previstas para esta quarta-feira, 21 de outubro, às 11h no horário de Brasília.
O PHP é utilizado em uma parcela significativa da internet, incluindo plataformas populares como WordPress, Drupal, Joomla e Magento. A linguagem também está presente em aplicações web, serviços de hospedagem e painéis de administração, o que amplia consideravelmente o número potencial de sistemas expostos.
Falhas podem permitir execução remota de código
O Computer Emergency Response Team da União Europeia, conhecido como CERT-EU, alertou que os problemas podem permitir execução remota de código sem autenticação. Na prática, isso significa que invasores poderiam executar comandos arbitrários em servidores vulneráveis sem precisar de credenciais de acesso.
Entre as possíveis consequências estão o roubo de informações, a alteração do conteúdo de sites, o acesso não autorizado a sistemas sensíveis e até o comprometimento completo dos servidores afetados. Versões do PHP que remontam à quinta geração podem estar vulneráveis, embora a equipe responsável pelo projeto ainda não tenha divulgado a lista definitiva de versões atingidas nem todos os detalhes técnicos das falhas.
O CERT-EU recomenda que organizações identifiquem imediatamente as instalações potencialmente afetadas e se preparem para aplicar as atualizações assim que forem liberadas. Sistemas que não puderem ser corrigidos rapidamente devem ser isolados temporariamente das redes públicas, evitando que permaneçam acessíveis enquanto estiverem desprotegidos.
Ataques já começaram, segundo empresas de segurança
Dane Knecht, diretor de tecnologia da Cloudflare, afirmou que a empresa já observa os primeiros ataques relacionados às vulnerabilidades. A companhia começou a atualizar as regras de seu Web Application Firewall, mecanismo que bloqueia padrões suspeitos de tráfego, e disponibilizou as primeiras proteções para todos os clientes, incluindo os usuários do plano gratuito.
As defesas implementadas, no entanto, são consideradas temporárias e não substituem a atualização do PHP. A empresa de segurança Patchstack também recebeu relatos de exploração ativa vindos de diferentes parceiros de hospedagem.
Administradores de sites WordPress precisam prestar atenção a uma diferença importante: atualizar automaticamente o WordPress não corrige necessariamente falhas na instalação do PHP. A atualização precisa ser feita pelo provedor de hospedagem ou pelo responsável pelo servidor.
O risco é ainda maior para organizações que utilizam versões antigas e sem suporte oficial, já que essas instalações podem não receber os patches necessários. A prioridade, portanto, é localizar servidores vulneráveis, instalar as correções assim que disponíveis e retirar da internet os sistemas que não puderem ser protegidos imediatamente.
