Falhas críticas no PHP tiram sites do ar pelo mundo; correção está nas versões 8.2 a 8.5

Duas falhas críticas no PHP levaram governos e empresas a tirar sites do ar nesta quarta-feira (21). O projeto lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, que corrigem duas vulnerabilidades que permitem a um invasor sem senha executar código em servidores com PHP. A PHP Foundation pede que quem roda PHP atualize agora.

A linguagem é a base de boa parte da internet gaúcha: o PHP está em 69% de todos os sites, segundo a W3Techs. Portais de prefeituras, jornais, lojas virtuais e páginas de empresas do RS feitos em WordPress podem estar na lista. Um site com WordPress, plugins e temas em dia continua vulnerável se o servidor usar um PHP sem a correção. Não há, até agora, lista pública de sites gaúchos tirados do ar.

Quem precisa agir, e como

A correção precisa ser instalada no servidor. O patch não vem por atualização automática do PHP, e quem administra a infraestrutura tem de aplicá-lo à mão. Em hospedagem compartilhada, o dono do site depende da empresa de hospedagem. Boa parte dos sites WordPress do Brasil está nesse tipo de hospedagem.

Segundo a PHP Foundation, estão em risco todas as instalações que atendem requisições web, como PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. As versões 8.1 e anteriores não recebem mais atualizações regulares e também podem ser afetadas. Um alerta do CERT-EU, o órgão de resposta a incidentes da União Europeia, diz que as falhas podem atingir todas as versões a partir do PHP 5.

Governos desligaram sites por precaução

A NSA, agência de segurança dos Estados Unidos, recomendou que as organizações que não puderem atualizar de imediato coloquem o sistema fora do ar até a mitigação completa. No Reino Unido, o Centro Nacional de Segurança Cibernética (NCSC) pediu ação imediata contra as falhas CVE-2026-109618 e CVE-2026-109619.

Na França, o Ministério do Interior tirou do ar, de forma temporária, os sites das prefeituras e de serviços administrativos locais enquanto esperava a correção. Na Holanda, o governo retirou do ar serviços públicos como Overheid.nl, MijnOverheid.nl e o DigiD. Não há previsão geral de retorno. Cada responsável reativa o serviço depois de aplicar a correção.

Exploração ativa e origem das falhas

O diretor de tecnologia da Cloudflare escreveu no X que a empresa via ataques iniciais surgindo. A agência americana de cibersegurança, a CISA, informou que não havia observado exploração das falhas até a publicação do seu alerta.

Os detalhes vazaram na terça (20), um dia antes da data prevista para a correção. Segundo a agência AFP, as falhas foram reportadas em agosto pela Calif e pela OpenAI, que as identificou de forma independente.

Serviço: o que fazer

Quem administra site em PHP deve conferir a versão instalada e atualizar para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, conforme a linha em uso. Quem tem site em hospedagem compartilhada deve cobrar da empresa de hospedagem a instalação do patch. As instruções técnicas completas estão no anúncio de segurança publicado em php.net.