PHP corrige duas falhas criticas que expunham milhoes de sites web

Duas CVEs que pararam parte da web

O PHP é uma tecnologia aberta que sustenta grande parte dos sites em operação. Na quarta-feira citada pela reportagem, a PHP Foundation divulgou correções para duas vulnerabilidades críticas apelidadas de PHP2Shell: CVE-2026-109618 e CVE-2026-109619. O caso ganhou peso porque as falhas estavam no código havia anos e só agora pesquisadores encontraram um caminho prático de exploração.

O alcance potencial explica a reação. Lojas virtuais, bancos, hospitais, serviços de jogos, varejistas e órgãos públicos tiveram de agir em poucas horas, e parte deles optou por derrubar serviços de propósito para atualizar com menos risco de surpresa no meio do caminho.

Invasão sem senha: o que estava em jogo

Em termos simples, as falhas abririam caminho para que alguém invadisse um sistema online rodando PHP sem apresentar qualquer credencial. Um servidor publicado na internet poderia ser acessado ou ter conteúdo alterado, com gravidade variando conforme a configuração do ambiente e o que estivesse armazenado ali.

Houve, porém, um fator que segurou o estrago. A PHP Foundation avisou grandes empresas de internet e provedores de hospedagem antes do anúncio público, o que permitiu a uma fatia relevante do ecossistema começar a corrigir seus sistemas antes da corrida geral por patches.

Sinais de alerta que sua equipe não deve ignorar

Mesmo com correção publicada, o risco permanece em qualquer ambiente que ainda não atualizou. Vale acender o alerta diante de:

• sites em PHP sem atualização aplicada após o comunicado da PHP Foundation;
• servidores expostos diretamente na internet e fora de qualquer inventário;
• serviços retirados do ar sem plano definido de retorno seguro;
• alterações inesperadas em páginas, arquivos ou registros de banco de dados;
• picos incomuns de acesso logo depois da divulgação das CVEs.

O que fazer agora, por ordem de prioridade

O primeiro passo é confirmar se todos os ambientes que rodam PHP receberam os patches publicados. Isso vale para produção, homologação, sistemas legados, painéis internos expostos e servidores sob responsabilidade de terceiros.

• Atualize o PHP conforme as correções oficiais da PHP Foundation.
• Mapeie dependências: identifique todos os sites e servidores que usam PHP.
• Revise logs em busca de acessos incomuns após a divulgação pública.
• Reduza exposição: tire da internet tudo o que não precisa estar público.
• Comunique fornecedores de hospedagem e desenvolvimento e exija comprovação da aplicação dos patches.

Checklist pratico

1. Liste todos os sites, aplicações e servidores que usam PHP, incluindo ambientes antigos ou esquecidos.
2. Confirme a aplicação das correções para CVE-2026-109618 e CVE-2026-109619 em cada ativo.
3. Monitore acessos, alterações de arquivos e comportamento anormal nos dias seguintes à atualização.

Perguntas frequentes

Todo site em PHP foi invadido?

Não. A reportagem descreve um risco amplo, mas destaca que a coordenação antecipada ajudou a evitar exploração em massa até o momento citado.

As correções já existem?

Sim. A PHP Foundation publicou patches para impedir que servidores expostos sejam atacados por essas falhas.

Por que isso pode se repetir?

Pesquisadores ouvidos pela reportagem apontam que a descoberta de falhas antigas tende a ficar mais frequente, sobretudo com o avanço de ferramentas de inteligência artificial capazes de encontrar vulnerabilidades até então desconhecidas.

Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io

Fontes:
https://techcrunch.com/2026/10/24/php-ocalypse-how-two-critical-web-bugs-almost-broke-the-internet/