 |
| Foto: Samuel Boivin/ NurPhoto via AFP |
A descoberta de duas vulnerabilidades críticas no PHP, linguagem de programação amplamente utilizada no funcionamento de sites e serviços digitais em todo o mundo, motivou o desligamento preventivo de portais e plataformas nesta quarta-feira (21). A gravidade das brechas levou órgãos globais de segurança cibernética, como a Agência de Segurança Nacional dos Estados Unidos (NSA), a recomendarem a interrupção temporária de sistemas expostos que não possam ser atualizados de forma imediata.
As falhas, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, receberam nota de gravidade 9,2 de uma escala até 10. A vulnerabilidade permite que invasores executem comandos nos servidores sem a necessidade de login ou senha, criando brechas para invasões, comprometimento de banco de dados e controle indevido de arquivos.
Apesar da suspensão de serviços em diversos locais, comunicados oficiais enfatizam que não houve uma queda global da internet, mas sim decisões estratégicas de desligamento voluntário adotadas por governos e empresas para conter eventuais invasões enquanto as correções eram aplicadas.
Impacto e reação internacional
Na Holanda, o governo suspendeu preventivamente portais essenciais, como o Overheid.nl, o MijnOverheid.nl e o DigiD, sistema digital usado pela população para acessar serviços públicos. O próprio Centro Nacional de Segurança Cibernética holandês (NCSC) retirou seu site oficial do ar temporariamente por precaução, afirmando que não foram detectados sinais de invasão ativa.
Recomendações semelhantes foram emitidas pelo CERT-EU (órgão de resposta a incidentes cibernéticos da União Europeia) e pelo Centro Nacional de Segurança Cibernética do Reino Unido, orientando que empresas e governos identifiquem com urgência todas as aplicações rodando sobre o PHP e considerem isolá-las até que os patches de segurança sejam instalados.
Correções já disponíveis e orientações
O projeto responsável pelo PHP já disponibilizou atualizações emergenciais para mitigar o problema nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Desenvolvedores alertam que soluções temporárias de proteção não substituem a aplicação definitiva das atualizações de sistema.
A equipe da plataforma WordPress também emitiu nota esclarecendo que a falha reside diretamente no servidor e no PHP utilizado pelas hospedagens, e não no código do CMS. Diante disso, a orientação para administradores de portais e proprietários de sites é entrar em contato imediato com os provedores de hospedagem para confirmar a aplicação dos pacotes de correção.
Especialistas reforçam que a retirada preventiva de uma página do ar ou a presença da linguagem desatualizada não significam necessariamente que o sistema tenha sido invadido, tratando-se de um protocolo padrão de contenção de riscos.