Duas vulnerabilidades de gravidade crítica permitem execução remota de código e levam governos e organizações a suspender serviços preventivamente. Atualizações emergenciais foram disponibilizadas nesta quarta-feira, 21 de outubro
21 de outubro de 2026 | Crypto ID | Cibersegurança
Uma crise internacional de cibersegurança atingiu nesta quarta-feira, 21 de outubro, a infraestrutura de sites e serviços digitais utilizados por governos, empresas e instituições públicas. A descoberta de duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas na internet, levou organizações de diferentes países a retirar temporariamente seus sistemas do ar para reduzir o risco de ataques.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam classificação de gravidade 9,2 em uma escala de 0 a 10, segundo o sistema CVSS 4.0. Ambas podem permitir a execução remota de código por invasores sem necessidade de autenticação prévia.
O alerta foi confirmado pelo próprio projeto PHP, pelo Centro Nacional de Segurança Cibernética do Reino Unido (NCSC), pela equipe de resposta a incidentes da União Europeia (CERT-EU) e por outras autoridades internacionais.
O que é PHP e por que essas vulnerabilidades preocupam?
O PHP é uma linguagem de programação de código aberto utilizada no processamento de aplicações web. Diferentemente das tecnologias que executam diretamente no navegador, o PHP opera principalmente nos servidores, processando informações, consultando bancos de dados e gerando páginas e serviços digitais.
Ele está presente na infraestrutura de plataformas como WordPress, Drupal e Joomla, além de aplicações desenvolvidas especificamente para empresas, governos, instituições financeiras e prestadores de serviços.
O problema identificado não está restrito a um site ou aplicativo. As vulnerabilidades afetam o próprio PHP e, consequentemente, podem alcançar diferentes sistemas que utilizam versões vulneráveis da linguagem.
Em determinadas condições, um invasor pode explorar essas falhas para executar comandos no servidor sem possuir credenciais legítimas. Dependendo das permissões do processo comprometido, isso pode resultar em acesso a informações, alterações em aplicações ou comprometimento de serviços.
A Unit 42, equipe de inteligência de ameaças da Palo Alto Networks, classificou as duas vulnerabilidades como críticas e recomendou a avaliação imediata da exposição dos ambientes.
Governos europeus retiram serviços do ar
A dimensão do problema ficou evidente com as medidas adotadas por instituições públicas europeias.
Segundo informações divulgadas pela Reuters, diversos países decidiram suspender preventivamente o funcionamento de sites e aplicações enquanto suas equipes técnicas avaliavam os riscos e preparavam a instalação das correções.
Entre as medidas reportadas estão:
- Países Baixos: interrupções preventivas em portais governamentais e serviços de organizações públicas, incluindo o Porto de Roterdã.
- Alemanha: suspensão temporária de sites administrados pelo provedor federal de serviços de tecnologia ITZBund.
- França: retirada do ar de sites de prefeituras e administrações territoriais vinculadas ao Ministério do Interior.
- Finlândia: suspensão preventiva de serviços web governamentais pelo centro estatal de tecnologia Valtori.
- Bélgica: interrupção temporária de sites do Ministério das Relações Exteriores.
A Fundação Wikimedia, responsável pela Wikipédia, também informou que estava tratando as vulnerabilidades e havia desativado preventivamente alguns sistemas.
É importante distinguir as interrupções preventivas de ataques efetivamente confirmados. A retirada de um site do ar não significa necessariamente que tenha ocorrido invasão ou vazamento de dados. Em diversos casos, as instituições informaram que a decisão foi tomada justamente para evitar incidentes.
Agências internacionais recomendam medidas emergenciais
O CERT-EU publicou um alerta orientando as organizações a identificar aplicações que utilizam PHP e preparar a instalação imediata das correções. Nos ambientes em que a atualização não pudesse ser realizada rapidamente, a recomendação inicial foi considerar o isolamento das aplicações expostas à internet.
Nos Estados Unidos, a National Security Agency (NSA) também divulgou um comunicado de emergência. A agência advertiu que vulnerabilidades dessa natureza podem abrir caminhos para acesso ao sistema de arquivos e a bancos de dados dos servidores.
O NCSC britânico igualmente recomendou ações imediatas para reduzir a exposição das organizações.
Correções emergenciais já estão disponíveis
O projeto PHP disponibilizou nesta quarta-feira quatro versões corrigidas, destinadas às diferentes linhas de manutenção da linguagem.
| Versão do PHP | Atualização de segurança |
| ————- | ———————— |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
O comunicado oficial esclarece que as instalações expostas a requisições web devem ser avaliadas, incluindo ambientes PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
O risco é considerado particularmente elevado em determinadas configurações com mod_php, nas quais foi demonstrada a possibilidade de exploração antes mesmo da execução do código da aplicação.
O projeto também ressalta que medidas temporárias podem reduzir a exposição, mas não substituem a atualização.
Inteligência artificial participou da descoberta das falhas
Outro aspecto relevante deste episódio é a participação da inteligência artificial na identificação das vulnerabilidades.
Em comunicado publicado em 21 de outubro, a OpenAI informou que uma das falhas foi identificada com auxílio do modelo GPT-5.6 Sol, dentro da iniciativa Patch the Planet. A empresa de cibersegurança Wiz também descobriu e reportou independentemente as duas vulnerabilidades.
Segundo a OpenAI, a resposta envolveu colaboração com mantenedores do PHP, pesquisadores e fornecedores de infraestrutura, incluindo a Cloudflare, para preparar correções e proteções antes da divulgação pública.
A empresa destacou que a mesma capacidade da IA para identificar falhas complexas também pode acelerar o desenvolvimento de ferramentas ofensivas por agentes maliciosos.
O episódio demonstra como a utilização de IA na pesquisa de vulnerabilidades começa a modificar tanto a descoberta de falhas quanto os processos de divulgação coordenada e resposta a incidentes.
E os sites brasileiros?
A dimensão internacional do alerta exige atenção também no Brasil, especialmente de organizações que utilizam PHP em portais institucionais, plataformas de atendimento e aplicações corporativas.
O fato de uma aplicação utilizar WordPress ou outra plataforma baseada em PHP não significa, isoladamente, que ela tenha sido comprometida. É necessário verificar a versão efetivamente instalada, a configuração do servidor e a aplicação das correções.
Até o momento desta apuração, não há confirmação independente de uma relação de órgãos públicos brasileiros que tenham suspendido seus sites especificamente em decorrência dessas duas vulnerabilidades.
Uma vulnerabilidade com consequências globais
A resposta internacional evidencia a dependência de governos, empresas e serviços essenciais de componentes de software amplamente compartilhados.
Uma falha identificada no núcleo de uma linguagem de programação pode exigir medidas simultâneas de milhares de administradores de sistemas, mesmo quando as aplicações possuem finalidades completamente diferentes.
Neste caso, a suspensão temporária de serviços, a publicação emergencial de atualizações e a mobilização de autoridades de cibersegurança demonstram a dimensão operacional do problema.
A prioridade agora é aplicar as correções, verificar possíveis sinais de exploração e restabelecer com segurança os serviços que foram preventivamente interrompidos.
Alerta sobre falhas no PHP chega às Américas, Ásia e Oceania
A mobilização provocada pelas vulnerabilidades críticas no PHP ultrapassou as fronteiras europeias. Autoridades de cibersegurança nas Américas, na Ásia e na Oceania também passaram a recomendar medidas emergenciais para proteger servidores e aplicações potencialmente expostos.
Brasil: governo federal publica recomendação técnica
No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), vinculado ao Gabinete de Segurança Institucional da Presidência da República, publicou às 12h28 desta quarta-feira, 21 de outubro, a Recomendação Técnica nº 19/2026.
O documento identifica as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 e recomenda que as organizações localizem aplicações que utilizam PHP e priorizem a instalação das atualizações de segurança.
Quando a atualização imediata não for possível, o CTIR Gov orienta avaliar o isolamento temporário das aplicações expostas à internet, restringindo o acesso público até a implementação das correções.
O comunicado não informa a ocorrência de invasões ou a suspensão de sites governamentais brasileiros.
Estados Unidos: NSA e CISA alertam para riscos aos servidores
Nos Estados Unidos, a National Security Agency (NSA) recomendou que organizações se preparassem para atualizar imediatamente seus ambientes PHP. A agência advertiu que vulnerabilidades dessa natureza podem permitir acesso ao sistema de arquivos e aos bancos de dados dos servidores.
A Cybersecurity and Infrastructure Security Agency (CISA) também orientou a aplicação imediata das correções. Segundo informações divulgadas pela Reuters, a agência americana declarou que não havia observado exploração das duas vulnerabilidades até o momento de seu comunicado.
A empresa americana Namecheap, que oferece serviços de hospedagem, publicou um aviso operacional sobre as falhas, identificadas também como PHP2Shell, e iniciou manutenção de segurança em seu serviço EasyWP.
Canadá: Centro Nacional de Cibersegurança emite alerta
O Canadian Centre for Cyber Security publicou em 21 de outubro o alerta AV26-1070, orientando administradores de sistemas a consultar os comunicados oficiais e aplicar as atualizações necessárias.
O documento confirma a mobilização das autoridades canadenses, mas não apresenta informações sobre interrupções de serviços públicos ou incidentes confirmados no país.
Japão e Austrália: autoridades acompanham a ameaça
Na região da Ásia-Pacífico, autoridades de cibersegurança do Japão e da Austrália também emitiram orientações para atualização dos ambientes PHP ou retirada temporária de sistemas expostos até a aplicação das correções.
Segundo a Reuters, a agência australiana de cibersegurança informou que não tinha conhecimento de exploração ativa das vulnerabilidades no momento de sua manifestação.
Essas informações demonstram a extensão internacional da resposta preventiva, mas não confirmam interrupções generalizadas de serviços nos dois países.
Hong Kong: governo emite alerta de ameaça elevada
O GovCERT.HK, centro governamental de resposta a incidentes de Hong Kong, publicou em 21 de outubro o alerta A26-10-36, classificando as vulnerabilidades como ameaças de alto risco.
A orientação inclui o inventário de aplicações PHP e a aplicação das atualizações de segurança. O documento não relata interrupções de serviços governamentais.
Uganda: África também entra na mobilização internacional
Na África, o Uganda National Computer Emergency Response Team (CERT.UG) publicou em 21 de outubro um comunicado sobre as vulnerabilidades, conhecidas também como PHP2Shell.
A equipe nacional de resposta a incidentes destacou o risco para aplicações utilizadas pelo governo e pelo setor privado de Uganda e recomendou a instalação das correções disponibilizadas pelo projeto PHP.
O comunicado não confirma ataques nem a suspensão de serviços no país, mas demonstra que a mobilização preventiva também chegou ao continente africano.
Exposição internacional: quase 920 mil servidores PHP identificados nos EUA
Um levantamento publicado pelo VirusTotal nesta quarta-feira acrescenta uma dimensão importante à crise.
A análise identificou aproximadamente 920 mil servidores associados a PHP nos Estados Unidos com pelo menos uma porta de rede aberta. O estudo também aponta concentração de infraestrutura em grandes provedores de nuvem e hospedagem.
Esse número não representa 920 mil servidores comprovadamente vulneráveis ou invadidos. Trata-se de um indicador de exposição tecnológica, que ajuda a dimensionar o trabalho necessário para avaliar e corrigir os ambientes potencialmente afetados.
| Região | País ou território | Situação verificada |
|---|---|---|
| Europa | Países Baixos, Alemanha, França, Bélgica e Finlândia | Suspensões preventivas de serviços |
| América do Sul | Brasil | Alerta oficial do CTIR Gov |
| América do Norte | EUA | Alertas da NSA e CISA; manutenção em serviços de hospedagem |
| América do Norte | Canadá | Alerta oficial de segurança |
| Ásia | Japão | Alerta preventivo e suspensão de uma função de serviço da Sakura Internet |
| Ásia | Hong Kong | Alerta governamental |
| Oceania | Austrália | Alerta crítico do ACSC |
| África | Uganda | Alerta do CERT nacional |
Fontes oficiais e técnicas
- Projeto PHP — divulgação das vulnerabilidades CVE-2026-109618 e CVE-2026-109619 e publicação das versões corrigidas.
- CERT-EU — equipe de resposta a incidentes de cibersegurança da União Europeia.
- National Cyber Security Centre (NCSC) — Centro Nacional de Segurança Cibernética do Reino Unido.
- National Security Agency (NSA) — agência de segurança nacional dos Estados Unidos.
- Cybersecurity and Infrastructure Security Agency (CISA) — agência norte-americana de cibersegurança e infraestrutura.
- Canadian Centre for Cyber Security — Centro Canadense de Cibersegurança, responsável pelo alerta AV26-1070 citado no texto.
- GovCERT.HK — centro governamental de resposta a incidentes de Hong Kong, responsável pelo alerta A26-10-36.
- CERT.UG — equipe nacional de resposta a incidentes de Uganda.
- CTIR Gov — Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, responsável pela Recomendação Técnica nº 19/2026, publicada no Brasil.
- Unit 42, da Palo Alto Networks — equipe de inteligência de ameaças citada na avaliação da gravidade das vulnerabilidades.
- Wiz — empresa de segurança em nuvem que, segundo o texto, identificou e reportou as duas vulnerabilidades independentemente.
- OpenAI — publicação oficial sobre a iniciativa Patch the Planet e a colaboração na descoberta e correção das falhas.
- Reuters — cobertura internacional das vulnerabilidades e da suspensão preventiva de sites governamentais.
- VirusTotal — levantamento citado no texto sobre servidores associados a PHP nos Estados Unidos. O endereço específico desse levantamento não foi identificado na pesquisa realizada.
- Cloudflare — empresa mencionada na colaboração técnica para preparar proteções e na resposta às vulnerabilidades.
- Fundação Wikimedia — organização responsável pela Wikipédia, citada no relato sobre a desativação preventiva de sistemas.
- Namecheap — empresa de hospedagem mencionada no texto por sua comunicação sobre as falhas e pela manutenção do serviço EasyWP.
TP-Link apresenta videomonitoramento com IA e lança linha de gateways no Seg Summit 2026
75% dos consumidores trocariam por um concorrente ao desconfiar de um site, revela Liferay
Intelbras apresenta soluções de segurança para condomínios no SegSummit 2026
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
