Falhas críticas no PHP colocam milhões de sites do Brasil e do mundo em risco

Duas falhas graves de segurança identificadas na linguagem de programação PHP deixaram cerca de 22,6 milhões de sites vulneráveis a invasões no Brasil e no mundo. O alerta global levou o governo brasileiro, tribunais e agências reguladoras a suspenderem sistemas preventivamente em outubro de 2026.

→ Registradas sob os códigos técnicos CVE-2026-109618 e CVE-2026-109619 (identificadores oficiais de falhas de cibersegurança), as brechas foram descobertas com o auxílio de inteligência artificial e receberam nota 9,2 de 10 em nível de gravidade. O erro permite que invasores assumam o controle de servidores, alterem páginas e acessem bancos de dados sem necessidade de login ou senha.

Impacto em órgãos públicos no Brasil e no exterior

O PHP é a base estrutural de grande parte da internet mundial, sustentando plataformas como o WordPress (presente em mais de 43% dos sites globais), Drupal, Joomla, Moodle e Magento. Com o vazamento antecipado de detalhes técnicos das falhas, empresas de infraestrutura digital como a Cloudflare registraram o início imediato de varreduras automatizadas e tentativas de ataque.

No Brasil, diversos órgãos adotaram bloqueios preventivos enquanto aplicavam as atualizações de segurança:

• Anatel: Retirou do ar temporariamente o Sistema Eletrônico de Informações (SEI).

• Poder Judiciário: Os Tribunais Regionais Federais da 1ª e da 6ª Região (TRF-1 e TRF-6) registraram instabilidades e suspensões preventivas de acesso.

• Governo Federal: Emitiu alerta urgente orientando todas as autarquias e órgãos públicos a atualizarem imediatamente seus servidores.

"O caso não se trata de uma falha ou vulnerabilidade inerente ao SEI. A indisponibilidade temporária do serviço está relacionada a uma vulnerabilidade recente identificada no próprio PHP. Como consequência, qualquer aplicação que dependa e seja executada em ambiente ou servidor PHP é potencialmente afetada por essa fragilidade", esclareceu a Anatel em nota oficial.

→ No exterior, o Centro de Resposta a Incidentes de Segurança da União Europeia (CERT-EU) recomendou desconectar servidores que não pudessem ser corrigidos de imediato. Países Baixos (incluindo o Porto de Roterdã e hospitais), França, Alemanha, Finlândia, Bélgica e Dinamarca tiraram portais governamentais do ar por precaução.

Correções liberadas e medidas de proteção   

Para conter a janela de risco, a PHP Foundation disponibilizou quatro pacotes de atualização (patches de segurança) que eliminam definitivamente as brechas nos servidores:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Os desenvolvedores da linguagem alertam que medidas paliativas — como ajustar o limite de memória do servidor ou desativar o progresso de upload de sessão — não garantem proteção total. A recomendação técnica para gestores de tecnologia e administradores de portais corporativos é atualizar o ambiente de hospedagem imediatamente para as versões corrigidas.

Fontes consultadas

• CISO Advisor – PHP: 22,6 milhões de sites estão vulneráveis (21/10/2026).

• Agência Nacional de Telecomunicações (Anatel) – Nota Técnica de Esclarecimento sobre o SEI (Outubro/2026).