Falhas críticas no PHP ameaçam 70% dos sites – atualização urgente necessária

Duas vulnerabilidades críticas no PHP, linguagem que roda cerca de 70% dos sites, foram divulgadas e já geram bloqueios em governos e recomendações de atualização imediata.

Dois bugs graves foram encontrados na linguagem PHP, responsável por cerca de 70% dos sites da internet. As falhas permitem que invasores executem código nos servidores sem precisar de login, o que pode resultar em roubo de dados, desfiguração de páginas ou controle total da máquina. Por isso, agências de segurança de vários países já recomendaram a desativação temporária de sites e a aplicação imediata de patches.

O que são as vulnerabilidades

Os problemas, identificados como CVE-2026-109618 e CVE-2026-109619, têm pontuação 9.2 no CVSS v4, indicando risco crítico. O primeiro ocorre quando o PHP fica sem memória durante o processamento e trata dados incompletos como válidos. O segundo deixa resíduos de requisições anteriores na memória, permitindo que código malicioso seja reutilizado em novas requisições.

Impacto nos sites

Como a maioria dos sites WordPress, Drupal e Joomla usa PHP, a exploração pode afetar desde blogs pessoais até portais governamentais. Países como Finlândia, Holanda e França já removeram temporariamente serviços web públicos. Empresas de hospedagem, como a GoDaddy, alertam que os atacantes podem roubar informações de usuários, inserir conteúdo indesejado ou assumir o servidor inteiro.

Correção e recomendações

A Fundação PHP lançou, na manhã de 21 de outubro de 2026, atualizações para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As recomendações são:

Atualizar imediatamente para a versão corrigida.
Aplicar regras de firewall temporárias, como as disponibilizadas pela Cloudflare.
Isolar servidores da internet pública caso a atualização não seja possível.
Desativar módulos vulneráveis, como o mod_php do Apache, até que o patch seja aplicado.

Mesmo após o lançamento, a adoção pode ser lenta. Por isso, especialistas reforçam a necessidade de monitorar logs de acesso e bloquear padrões de ataque conhecidos enquanto a atualização se propaga.

Explica Noob
Execução remota de código: vulnerabilidade que permite a um atacante rodar comandos no servidor alvo sem precisar se autenticar, como se tivesse acesso direto ao computador.

Fonte: portaldobitcoin.uol.com.br