Falha no PHP coloca milhões de sites em risco

A equipe responsável pelo PHP, a linguagem de programação usada em grande parte da web, lançou na quarta-feira, 21 de outubro de 2026, correções de emergência para duas falhas de segurança críticas. As falhas são identificadas como CVE-2026-109618 e CVE-2026-109619, e cada uma recebeu nota 9,2 de 10 na escala de gravidade CVSS. Os pesquisadores as apelidaram de "php2shell".

O PHP roda em cerca de 70% a 80% dos sites cuja linguagem de servidor é conhecida, incluindo sites feitos com WordPress, Drupal, Joomla e Laravel. Segundo os pesquisadores, as falhas poderiam permitir que um invasor executasse código em um servidor web e assumisse o controle dele. Mais de 1,3 milhão de servidores conectados à internet podem ser afetados.

As falhas foram encontradas com a ajuda de inteligência artificial. A empresa de segurança Calif encontrou uma delas usando um modelo da OpenAI, e a Wiz disse ter encontrado vários bugs de segurança de memória no PHP usando ferramentas de IA da OpenAI, do Google e próprias. Segundo a Wiz, a IA torna bugs complexos como esses mais fáceis de explorar.

Agências de segurança, entre elas o CERT-EU e o Centro Nacional de Cibersegurança do Reino Unido, pediram que as organizações atualizem rapidamente ou, se não puderem atualizar de imediato, isolem seus sites da internet. Na época das reportagens, a agência americana CISA disse não ter visto as falhas sendo usadas em ataques, enquanto algumas empresas relataram invasores vasculhando a internet em busca de servidores sem correção.

Muitos servidores podem continuar expostos: cerca de 758.000 servidores que mostram sua versão do PHP usam versões antigas que não recebem mais atualizações de segurança.