Falhas no PHP derrubam serviços pelo mundo; SoftBank suspende alertas de terremoto

Duas vulnerabilidades críticas no PHP, linguagem usada em grande parte dos sites do planeta, levaram governos, empresas e operadoras a desligar ou restringir serviços nesta semana. Quem mantém sistemas em PHP no Rio Grande do Sul precisa atualizar as versões, segundo o alerta do governo federal. A operadora japonesa SoftBank suspendeu os alertas de emergência para celulares SoftBank, Y!mobile e LINEMO às 6h47 de sexta-feira (23), no horário do Japão.

Sem o sistema, os clientes não recebem avisos antecipados de terremoto, alertas de tsunami nem informações de desastre e evacuação. A SoftBank espera concluir o trabalho em 26 de outubro, segunda-feira. A empresa não informou, até aqui, que o serviço tenha voltado.

O que são as falhas e quem corre risco

As brechas são a CVE-2026-109618 e a CVE-2026-109619. Podem permitir que um atacante sem autenticação execute código remotamente. Estão ligadas ao tratamento de erros de falta de memória e ao gerenciamento de estados internos durante o processamento de requisições.

O alerta 93/2026 do CTIR Gov, centro de resposta a incidentes do governo federal, foi publicado na quarta-feira (21). As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e qualquer instalação anterior a elas é afetada. As falhas podem atingir configurações como Apache com mod_php, PHP-FPM e php-cgi. A agência de cibersegurança dos Estados Unidos, a CISA, afirma que as falhas afetam todas as instalações do PHP que atendem requisições web.

Prefeituras, lojas virtuais, escolas e empresas gaúchas que usam PHP em sistemas próprios ou em hospedagem contratada devem conferir a versão instalada.

Serviços desligados pelo mundo

Segundo a Reuters, a corretora Nomura, o banco Mitsubishi UFJ Financial Group, a companhia aérea ANA e a ferrovia East Japan Railway (JR East) suspenderam temporariamente alguns serviços de internet. O Ministério das Finanças, a Agência Tributária Nacional e a Agência Meteorológica do Japão também tiraram do ar parte dos serviços online. Na sexta, a JR East informou que parte dos serviços do grupo voltou e que os demais serão restabelecidos quando houver confirmação de segurança.

A onda não ficou restrita ao Japão. Os desligamentos de emergência da semana, de Tóquio a Helsinque, atingiram serviços bancários, aéreos, ferroviários, tributários e governamentais. A SoftBank, que tem mais de 30 milhões de clientes de smartphone, informou que eles ainda podem receber alertas de terremoto por serviços como o aplicativo da Yahoo.

A divulgação das falhas provocou milhões de tentativas de invasão. A Cloudflare, empresa de infraestrutura de internet, relatou que as tentativas de exploração saltaram de milhares para milhões em poucas horas. Já a CISA registrou, no momento da publicação do seu alerta, que não havia observado exploração das vulnerabilidades. Nenhuma das fontes consultadas confirma invasões bem-sucedidas ligadas às duas CVEs.

O que o governo federal manda fazer

O CTIR Gov recomendou atualização imediata dos sistemas.

Para administradores de sistemas, a orientação federal vale para todo o país. O CTIR Gov pede que as instituições identifiquem sistemas, servidores e aplicações que usam PHP, conferam as versões instaladas e apliquem imediatamente as atualizações. Se a atualização imediata não for possível, a recomendação é reduzir a exposição dos sistemas, por exemplo restringindo o acesso pela internet. Serviço: o alerta 93/2026 está no site do Gabinete de Segurança Institucional (gov.br/gsi).