Falhas críticas no PHP tiram sistemas do ar no Brasil e no mundo; veja as versões corrigidas

Duas falhas graves no PHP, a linguagem por trás de boa parte dos sites do mundo, levaram governos e empresas a tirar sistemas do ar. O alerta oficial foi publicado em 21 de outubro no site do PHP, com o título "Critical remote code execution vulnerabilities, update now" (vulnerabilidades críticas de execução remota de código, atualize agora).

O que as falhas permitem

"Execução remota de código" significa que um invasor consegue mandar o servidor rodar comandos que ele mesmo escolheu, sem precisar de login. As duas falhas têm identificadores próprios: a CVE-2026-109618, descrita pelo PHP como execução remota por corrupção de memória, e a CVE-2026-109619, por estado global obsoleto. O PHP atribui nota 9,2 de 10 em gravidade, segundo o Olhar Digital e o Canaltech.

O risco vale para qualquer instalação de PHP que responda a pedidos da web, como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O maior risco é no mod_php, segundo o aviso oficial. Segundo o Canaltech, o PHP está em cerca de 69,3% dos sites com linguagem de servidor conhecida, dado da W3Techs.

As versões 8.1 e anteriores não recebem mais atualização oficial do projeto, mas o aviso diz que existem correções adaptadas para as linhas 7.4, 8.0 e 8.1 em algumas distribuições e fornecedores de suporte estendido.

O que aconteceu no Brasil

Segundo o Canaltech, a Anatel retirou do ar, por precaução, o Sistema Eletrônico de Informações (SEI) e informou que o problema está no PHP, não no SEI. O TRF1 suspendeu o acesso externo ao SEI, e a Justiça Federal da 4ª Região interrompeu o acesso externo a seus sistemas. O governo federal, por meio do CTIR Gov, recomendou identificar sistemas com PHP e aplicar as versões corrigidas. Não há confirmação de invasões nesses órgãos.

Fora do país, a Reuters relatou que órgãos de governo, entre eles na Holanda e na Finlândia, tiraram sites do ar antes da correção.

O que fazer

O aviso do PHP diz que atualizar é a única solução completa. Ele cita medidas parciais, como desligar o session.upload_progress.enabled e reduzir o post_max_size, mas afirma que elas não deixam a instalação segura. Quem tem site em WordPress ou outro gerenciador deve cobrar da hospedagem a atualização do PHP, porque atualizar só o WordPress não corrige o problema, de acordo com o Canaltech. As fontes divergem em detalhes, como a lista de países que tiraram serviços do ar; vale a versão do aviso oficial para os dados técnicos.

Fonte: PHP.net (aviso de segurança); Canaltech; Olhar Digital; Reuters (via KFGO).