Uma falha crítica na linguagem de programação PHP levou governos, empresas e organizações de diversos países a retirarem sites e sistemas do ar nesta quarta-feira (21), como medida preventiva contra possíveis ataques cibernéticos. A vulnerabilidade, considerada grave, motivou alertas para que administradores atualizem os servidores com urgência e reduzam a exposição até que as correções sejam aplicadas.
O PHP é uma das linguagens de programação mais utilizadas na internet e está presente em milhões de sites e aplicações, incluindo portais governamentais, sistemas corporativos e plataformas de comércio eletrônico. Por causa da ampla adoção da tecnologia, a vulnerabilidade tem impacto global.Diferentes governos e empresas optaram por suspender temporariamente serviços online para evitar que a falha no PHP fosse explorada por criminosos. Em alguns casos, a interrupção foi planejada para permitir a aplicação das atualizações de segurança; em outros, ocorreu após a identificação de riscos relacionados à vulnerabilidade.
De acordo com pesquisadores da empresa de segurança Wiz Research e agências internacionais, as falhas permitem que invasores realizem a execução remota de código sem precisar de nenhum tipo de autenticação ou senha. Isso permite que ataques maliciosos possam assumir o controle total de servidores.
Falha no PHP fez sistemas e sites saírem do ar preventivamente nesta quarta-feira (21)
Falha no PHP: veja as vulnerabilidades
- CVE-2026-109618 — corrupção durante esgotamento de memória (OOM): quando o PHP fica sem memória durante o processamento de uma requisição, pode entrar em um estado interno inconsistente. Na etapa de limpeza, ele pode interpretar dados parcialmente inicializados como válidos. Segundo o aviso, isso pode permitir a execução remota de código;
- CVE-2026-109619 — estado global obsoleto: informações internas de uma requisição podem permanecer na memória depois de ela ser liberada. Uma requisição posterior, atendida pelo mesmo processo do servidor, pode reutilizar esses dados indevidamente antes da reinicialização correta do estado.
A NSA (Agência de Segurança Nacional dos Estados Unidos) pediu que as organizações corrigissem as falhas imediatamente ou desligassem os sistemas vulneráveis.“Essas vulnerabilidades frequentemente fornecem um caminho direto para o sistema de arquivos ou banco de dados do servidor. Se uma atualização imediata não for viável, recomenda-se que as organizações tirem o sistema offline até que ele possa ser completamente mitigado”, diz a NSA em comunicado no X. No Brasil, os efeitos da falha no PHP também foram registrados. A Anatel (Agência Nacional de Telecomunicações) retirou temporariamente do ar seu SEI (Sistema Eletrônico de Informações) por causa das vulnerabilidades. A instabilidade também atingiu tribunais regionais brasileiros, que interromperam o acesso aos sistemas digitais.
Palavras-chaveo acesso aos sistemas digitais.
