Segurança na Internet e equipes de administração da web em todo o mundo estão lutando para evitar desastres generalizados. Na quarta-feira, os desenvolvedores da linguagem de programação PHP, muito utilizada, lançaram atualizações de segurança de emergência projetadas para corrigir falhas críticas que poderiam ser exploradas para permitir que invasores obtivessem controle remoto perigoso dos sistemas das vítimas.
A Fundação PHP detalhado as duas vulnerabilidades críticas –CVE-2026-109618 e CVE-2026-109619—que impactam “todas as instalações de PHP que atendem a solicitações da web” desde a versão 5 do PHP, lançada em julho de 2004. No entanto, apenas o PHP 8.2 e mais recentes ainda são suportados e receberão patches, de acordo com o alerta. A PHP Foundation observou, porém, que algumas distribuições de PHP e fornecedores terceirizados ainda produzem correções legadas. A advertência é significativa, porque camadas da web onipresentes e fundamentais, como o PHP, podem persistir esquecidas e não atualizadas na infraestrutura histórica da Internet.
“Não há mitigações completas, a atualização é a única escolha segura”, escreveu a PHP Foundation em seus comunicados. Especialistas em segurança alertam sobre as possíveis consequências terríveis de ignorar sistemas não corrigidos.
“Isto não é um exercício”, afirma Lukasz Olejnik, consultor de segurança independente e investigador sénior visitante no King’s College London. Desde o seu desenvolvimento na década de 1990, o PHP evoluiu para uma linguagem de script essencial para o desenvolvimento web e é usado em vastas áreas da Internet em sites e software. Tudo, desde sistemas de publicação como WordPress e Drupal até plataformas de comércio eletrônico como o Magento da Adobe, são construídos em PHP.
Olejnik compara o uso generalizado da linguagem de programação à infraestrutura crítica.
“O impacto é enorme”, diz ele sobre as falhas de segurança do PHP, acrescentando que milhões de sistemas poderiam ser afetados. “Especialmente se os invasores começarem a explorar essas vulnerabilidades rapidamente. O pior caso é o malware wormável que afeta grandes partes da Internet.”
O principal medo das equipes de segurança e dos desenvolvedores é que hackers mal-intencionados possam rapidamente aproveitar as vulnerabilidades e começar a explorar as implantações antes que elas sejam corrigidas. Empresa de infraestrutura de Internet Cloudflare relatado estava “vendo o surgimento de ataques iniciais” antes que a PHP Foundation detalhasse as vulnerabilidades e lançasse correções. “Esperamos que os ataques em massa comecem 15 minutos após o lançamento”, disse a empresa de segurança Sansec escreveu antes das correções, que foram lançadas pouco antes das 10h ET de quarta-feira.
“A maior parte da web roda em PHP e esse bug está em uma interface de upload de arquivos que é como uma porta de entrada sem fechadura”, diz Davi Ottenheimer, consultor de segurança e conformidade de longa data. “Um invasor não precisa saber qual site está acessando ou mesmo o software que ele executa. Ele envia um upload criado para qualquer servidor que encontrar, e esse é o ataque completo.”
