Alerta mundial de segurança aponta duas falhas críticas que permitem a execução remota de código sem autenticação; veja os riscos das vulnerabilidades e como corrigir
Duas falhas críticas de segurança no PHP, linguagem de programação utilizada por milhões de sites em todo o mundo, colocaram administradores de páginas na Internet em alerta nesta quarta-feira (21). As vulnerabilidades, divulgadas por pesquisadores das empresas de cibersegurança Wiz, Calif e Quarkslab, em colaboração com a OpenAI, podem permitir que criminosos invadam servidores sem precisar de senhas, abrindo caminho para o roubo de dados, a instalação de malwares e até a interrupção de serviços. O problema também representa um risco para sites brasileiros que utilizam versões vulneráveis do PHP, embora ainda não haja confirmação de páginas afetadas no país. Diante da gravidade, especialistas recomendam a atualização imediata dos sistemas para evitar ataques. A seguir, entenda o que aconteceu, quais sites podem ser afetados e como se proteger.
🔎 Smart Sampa: como dados de câmeras podem vazar sem invasão hacker? Entenda
🔎 Golpe Desenrola Brasil: saiba identificar e-mails falsos de renegociação de dívidas
Alerta mundial revela duas falhas críticas no PHP; saiba mais — Foto: Reprodução/Edivaldo Brito
📲 Canal do TechTudo no WhatsApp: acompanhe as principais notícias, tutoriais e reviews
Índice
- O que são as falhas de segurança identificadas no PHP?
- Falhas no PHP podem afetar sites brasileiros?
- Quais são os riscos das vulnerabilidades?
- Quais versões do PHP estão vulneráveis?
- Como corrigir as falhas de segurança no PHP?
1- O que são as falhas de segurança identificadas no PHP?
PHP é uma linguagem de programação de código aberto muito utilizada na Internet para criar sites, gerenciar bancos de dados e plataformas, como o WordPress. Nesta terça-feira (21), foram anunciadas duas falhas de segurança no PHP consideradas críticas, pois permitem a execução remota de código sem autenticação.
As duas falhas identificadas são: corrupção por falta de memória (CVE-2026-109618), que pode interromper o PHP enquanto os dados internos estão parcialmente inicializados, sendo que a limpeza da requisição pode tratar os dados inválidos como válidos; e estado global obsoleto (CVE-2026-109619), que pode permanecer mesmo após a liberação da memória. Uma requisição posterior, processada pelo mesmo servidor, pode utilizar esse estado obsoleto antes da inicialização.
PHP é uma linguagem de programação de código aberto muito utilizada na Internet — Foto: Reprodução/Edivaldo Brito
2- Falhas no PHP podem afetar sites brasileiros?
Sim, as vulnerabilidades no PHP podem afetar sites brasileiros, já que o risco é internacional. No entanto, as falhas podem atingir principalmente os que utilizam versões vulneráveis. Até o momento, não há confirmação de que grandes sites do Brasil tenham sido retirados do ar especificamente por conta dessas falhas.
Também não existe alerta público do CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, sobre o caso. Vale destacar, ainda, que a existência das vulnerabilidades não significa que milhões de sites já tenham sido invadidos, mas é um alerta para todos que utilizam a linguagem de programação.
Vulnerabilidades no PHP podem afetar sites brasileiros — Foto: Pond5
3- Quais são os riscos das vulnerabilidades?
As falhas no PHP podem permitir a execução remota de código sem autenticação, ou seja, as possíveis consequências são invasões, roubo de dados e alterações em sites. Na prática, cibercriminosos podem acessar servidores mesmo sem senhas para capturar informações, alterar páginas, comprometer o funcionamento de sites, interromper serviços, instalar malwares, entre outras ações.
Falhas no PHP podem permitir a execução remota de código — Foto: Divulgação
4- Quais versões do PHP estão vulneráveis?
Segundo o comunicado oficial, todas as instalações do PHP que atendem a requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, estão vulneráveis. "Consideramos o mod_php o de maior risco, com uma vulnerabilidade comprovada em que uma requisição não autenticada pode desencadear o ataque antes mesmo da execução de qualquer código da aplicação", diz o alerta. Para solucionar o problema, foram disponibilizadas as seguintes atualizações de segurança do PHP:
- 8.5.12;
- 8.4.27;
- 8.3.36;
- 8.2.35.
5- Como corrigir as falhas de segurança no PHP?
A recomendação é que administradores façam a atualização de segurança do PHP imediatamente para uma das versões corrigidas mencionadas no tópico acima. Contudo, caso não tenham acesso ao servidor, a orientação é procurar a empresa de hospedagem para verificar e aplicar as correções necessárias o mais rápido possível para evitar consequências negativas.
Administradores devem fazer a atualização de segurança do PHP imediatamente — Foto: Reprodução/Unsplash/FlyD
Com informações de CERT e PHP
Mais recente Próxima Smart Sampa: como dados de câmeras podem vazar sem invasão hacker? Entenda
- Entusiasta
- Exigente
- Internet
- OpenAI
- Segurança
- Tendências
- WordPress
