Falha de segurança em linguagem usada por até 70% dos sites tira páginas de governos do ar e leva NSA a alertar empresas

A segurança de boa parte da internet depende de uma linguagem de programação que a maioria dos usuários nunca vê. Na quarta-feira (21), duas falhas descobertas no PHP, usado por até 70% dos sites segundo a Wiz, levaram governos europeus a tirar páginas do ar e a Agência de Segurança Nacional dos EUA (NSA) a pedir que sistemas sem correção sejam desligados.

Uma correção já foi publicada, mas ela só protege quem a instala. Enquanto isso, a Cloudflare, empresa que protege sites contra ataques, diz ver tentativas de invasão em andamento.

Leia também: Meta cria ações sem direito a voto, mantém controle de Zuckerberg e exige que ele continue na Califórnia por oito anos; entenda o acordo

PHP é uma linguagem de programação, o conjunto de instruções com que desenvolvedores escrevem o código que faz um site funcionar. Ela roda em servidores, os computadores que armazenam e entregam as páginas ao usuário.

Programas muito usados para criar blogs, portais e lojas virtuais, como o WordPress, são escritos nessa linguagem. Por estar tão espalhada, uma falha no próprio PHP pode atingir sites de empresas, governos e hospitais ao mesmo tempo.

Falha de segurança permite invasão sem senha

As duas falhas, catalogadas como CVE-2026-109618 e CVE-2026-109619 (CVE é o código público usado para identificar vulnerabilidades), permitem o que especialistas chamam de execução remota de código. Na prática, um invasor consegue mandar comandos ao servidor pela internet, como se estivesse operando a máquina, sem senha e sem acesso prévio.

Com esse controle, segundo a NSA, o invasor pode roubar dados, tirar o site do ar ou usar o servidor como porta de entrada para outras partes da rede. O time de segurança do PHP deu às duas falhas nota 9,2 em 10, em uma escala usada no setor para medir gravidade.

A falha está na própria linguagem, e por isso um site bem configurado também fica vulnerável se rodar uma versão afetada. Em testes, a Calif, empresa de segurança, confirmou o ataque em programas populares como WordPress, Drupal, Joomla e Magento.

Brecha existia havia mais de 10 anos

O trecho de código com problema existe há mais de uma década. A Calif encontrou o caminho de ataque mais antigo na versão 5.4.0 do PHP, e o presidente da OpenAI, Greg Brockman, falou em 14 anos.

Um relato de 2020 sobre uso excessivo de memória já apontava um sintoma, mas não teve consequência na época. Uma auditoria de 2024 reencontrou o problema, sem provar que ele podia ser explorado, segundo a Calif.

IA ajuda pesquisadores de segurança a achar brechas

A Calif achou a primeira falha em 1º de agosto com o GPT-5.6 Sol, modelo de inteligência artificial (IA) da OpenAI, durante uma auditoria do programa Patch the Planet, iniciativa da OpenAI para procurar falhas em sistemas que sustentam a internet. Os pesquisadores usaram a IA para vasculhar o código e levantar pontos suspeitos, que depois testaram.

A Wiz, empresa de segurança controlada pelo Google, achou a primeira falha de forma independente em 19 de agosto. Ela combinou o Gemini 4 Argon, do Google, o GPT-5.6 Sol e uma ferramenta própria, a Wiz Atlas, segundo a Fortune.

Siga o Times | CNBC no Google e receba as principais notícias do Brasil e do Mundo.

Siga o Times | CNBC

A Calif disse que não esperava achar nada crítico, porque o PHP já havia passado por auditorias extensas, e que não usou modelos fora do alcance do público. Segundo Brockman, OpenAI, PHP, Wiz, Cloudflare e parceiros governamentais passaram dois meses preparando mitigações antes da divulgação, segundo o IBTimes.

Correção já saiu, mas depende de instalação

Uma correção, chamada no jargão da área de patch, é uma atualização que fecha a brecha. O PHP publicou na quarta-feira as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, junto com um aviso de segurança. Segundo o aviso, toda instalação que atende a pedidos de páginas está exposta.

Quem administra um site precisa instalar a atualização no servidor, o que depende das equipes de tecnologia ou do provedor de hospedagem. As versões 8.1 e anteriores não têm mais suporte oficial, mas o time do PHP divulgou correções mínimas, em código-fonte, para as versões 7.4, 8.0 e 8.1.

Governos europeus tiram sites do ar por precaução

Tirar um site do ar impede que invasores o alcancem enquanto a atualização não é instalada. Na Finlândia, a provedora estatal de tecnologia Valtori desligou os serviços públicos da administração central.

Nos Países Baixos, o Centro Nacional de Cibersegurança saiu do ar, assim como o Porto de Roterdã, o portal Overheid.nl, a federação de futebol KNVB, os sites dos cinco maiores partidos e páginas de hospitais, segundo a CNBC. O Parlamento holandês e a Autoridade de Proteção de Dados também ficaram fora do ar, de acordo com o IBTimes.

Na França, o Ministério do Interior tirou do ar sites de prefeituras regionais, e na Alemanha a ITZBund, provedora federal de tecnologia, desligou vários sites do governo, segundo a Euronews. Agências de segurança da Europa, da Austrália, do Japão e do Reino Unido pediram atualização imediata ou desligamento até a correção.

Alerta de segurança leva NSA a mandar desligar sistemas

No comunicado, a NSA recomenda que as organizações façam um inventário dos serviços que dependem de PHP, reforcem o registro de atividade nos ambientes e substituam versões sem suporte, que não aceitam a correção. Se a atualização imediata não for possível, a agência recomenda tirar o sistema do ar até que o risco seja mitigado por completo.

A agência avalia que atores maliciosos devem usar as falhas em ataques e exige correção imediata nos órgãos do governo americano. A Calif descreve mitigações temporárias e parciais para quem não puder atualizar, mas afirma que a única solução completa é a correção.

Ataques já aparecem, diz Cloudflare

O diretor de tecnologia da Cloudflare, Dane Knecht, disse na rede X que a empresa via ataques iniciais e atualizava as defesas conforme surgiam novas formas de exploração. Segundo o IBTimes, a empresa registrou milhares de tentativas nas 10 horas anteriores ao anúncio público. A watchTowr, outra empresa de segurança, também aponta exploração em andamento.

Quem usa versão antiga de PHP segue exposto

A empresa de segurança Mallory contou cerca de 884.000 servidores expostos na internet com versão 8.1 ou anterior do PHP em 20 de outubro, o equivalente a 59% dos 1,5 milhão que informam a versão, segundo o Check Point.

Siga o Times Brasil - Licenciado Exclusivo CNBC no