Alerta mundial: falhas no PHP colocam milhões de sites em risco

Por Marcelo Fischer | 21/10/2026 às 12:00 • Atualizado 21/10/2026 às 15:51

Duas falhas graves de segurança no PHP, uma das linguagens de programação mais utilizadas da internet, colocaram milhões de sites em alerta nesta quarta-feira (21). As vulnerabilidades podem permitir que criminosos invadam servidores sem precisar de senhas, roubem informações e comprometam o funcionamento de páginas.

A equipe responsável pelo PHP já disponibilizou correções de emergência e pede que os administradores atualizem seus servidores imediatamente.

As falhas receberam nota 9,2 de 10 em gravidade, uma das classificações mais altas para problemas de segurança.

O alerta provocou a retirada preventiva de sites governamentais em países europeus, como Países Baixos, Finlândia e França, segundo a Reuters.

A empresa de segurança Cloudflare também relatou tentativas iniciais de exploração das vulnerabilidades. Entretanto, ainda não há confirmação de ataques em massa que tenham comprometido milhões de sites.

O PHP é uma linguagem de programação utilizada principalmente para desenvolver sites e aplicações. Ela funciona nos servidores, processando informações antes que o conteúdo seja apresentado no navegador.

Por exemplo, quando alguém acessa uma loja virtual, o PHP pode ser responsável por consultar produtos, atualizar o carrinho e interagir com o banco de dados.

A tecnologia também está por trás de plataformas populares de criação de sites, como WordPress, Drupal e Joomla.

Segundo dados da W3Techs, 69,3% dos sites cuja linguagem de programação do servidor é conhecida utilizam PHP. O WordPress, por sua vez, está presente em mais de 43% das páginas da internet.

Por isso, uma vulnerabilidade na própria linguagem pode afetar desde pequenos blogs e lojas virtuais até portais de notícias e serviços governamentais.

As duas vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, permitem a chamada execução remota de código.

Isso significa que um criminoso pode conseguir executar comandos maliciosos no servidor de um site sem precisar ter uma conta cadastrada ou acesso autorizado ao sistema.

Dependendo das permissões obtidas, o invasor poderia roubar dados, modificar páginas, instalar programas maliciosos ou interromper serviços.

O risco levou diferentes organizações a retirar seus sites do ar preventivamente. Nos Países Baixos, a medida atingiu serviços do governo, o Porto de Roterdã e páginas de hospitais. Na Finlândia, serviços públicos também foram temporariamente interrompidos.

Essas interrupções foram adotadas como precaução e não significam, necessariamente, que os sistemas tenham sido invadidos.

A equipe responsável pela linguagem disponibilizou nesta quarta-feira (21) quatro versões que corrigem as vulnerabilidades:

Segundo o comunicado oficial, todos os administradores devem atualizar suas instalações o mais rápido possível.

Quem utiliza versões antigas, como PHP 8.1 ou anteriores, precisa verificar a disponibilidade de correções com o fornecedor ou migrar para uma versão com suporte.

Vale destacar que atualizar apenas o WordPress, seus temas ou plugins não resolve o problema, já que as vulnerabilidades estão no próprio PHP.

Para quem administra um site, o primeiro passo é verificar a versão instalada no servidor e procurar a empresa responsável pela hospedagem. Em serviços gerenciados, a atualização pode depender diretamente do provedor.

O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomenda retirar temporariamente sistemas da internet caso não seja possível atualizar ou aplicar medidas de proteção suficientes.

Apesar da liberação dos patches, o risco continuará para os servidores que permanecerem vulneráveis. Os desenvolvedores do PHP alertam que medidas temporárias não oferecem proteção completa contra as duas falhas.

As vulnerabilidades provocaram a suspensão preventiva de sites e serviços digitais em pelo menos sete países nesta quarta. Segundo a Reuters, governos e empresas decidiram interromper o acesso a sistemas enquanto preparavam as atualizações de segurança.

Nos Países Baixos, foram afetados portais do governo, sites de hospitais, o Porto de Roterdã e páginas dos cinco maiores partidos políticos do país. Até mesmo o Centro Nacional de Segurança Cibernética holandês retirou seu site do ar por precaução.

Na Finlândia, o governo suspendeu serviços públicos digitais. Já na França, o Ministério do Interior colocou sites de administrações regionais em manutenção preventiva.

A Alemanha também interrompeu o acesso a páginas de órgãos federais e governos estaduais. Na Bélgica, o Ministério das Relações Exteriores suspendeu temporariamente seus sites.

Na Dinamarca, uma empresa pública de tecnologia retirou do ar serviços utilizados por municípios, incluindo uma plataforma nacional de comunicação escolar. No Japão, a provedora Sakura Internet suspendeu uma funcionalidade de seus serviços de banco de dados.

A Fundação Wikimedia, responsável pela Wikipédia, também confirmou a suspensão de alguns sistemas de apoio enquanto aplica as correções.

As interrupções foram adotadas para reduzir o risco de invasões. Até o momento, não há confirmação de que esses serviços tenham sido comprometidos por criminosos.

As vulnerabilidades foram identificadas em agosto de 2026 por pesquisadores das empresas Wiz e Calif, com auxílio de ferramentas de inteligência artificial do Google e da OpenAI. Os modelos ajudaram a analisar o código do PHP e demonstrar como criminosos poderiam explorar os problemas para invadir servidores.

Segundo a PHP Foundation, já existiam indícios de uma das falhas desde 2024, mas dificuldades técnicas e de organização atrasaram sua correção. Após as descobertas de agosto, os detalhes foram mantidos em sigilo para permitir que a equipe responsável pelo PHP desenvolvesse as atualizações, lançadas nesta quarta-feira.

Veja mais sobre o caso no Canaltech: Falhas no PHP chegam ao Brasil e fazem Anatel e tribunais suspenderem sistemas