“Isso não é um exercício”: falhas críticas de segurança colocam milhões de sites em risco e provocam alerta global

Duas falhas críticas de segurança em uma das linguagens de programação mais utilizadas na internet colocaram equipes de tecnologia do mundo inteiro em alerta nesta quarta-feira (21). As vulnerabilidades foram identificadas no PHP, tecnologia que sustenta milhões de sites e plataformas digitais, incluindo sistemas como WordPress, Drupal e Magento. Segundo especialistas ouvidos pela Wired, os problemas podem permitir que criminosos assumam remotamente o controle de servidores e tenham acesso a informações confidenciais. Identificadas como CVE-2026-109618 e CVE-2026-109619, as vulnerabilidades afetam instalações do PHP utilizadas para atender requisições na web, incluindo versões lançadas desde 2004. A PHP Foundation, responsável pelo desenvolvimento da linguagem, disponibilizou atualizações emergenciais de segurança, mas apenas as versões 8.2 e posteriores ainda recebem suporte oficial. Algumas distribuições e fornecedores terceirizados continuam oferecendo correções para versões mais antigas. As duas falhas receberam pontuação de 9,2 em uma escala de gravidade que vai até 10. De acordo com a PHP Foundation, não existem medidas alternativas capazes de eliminar completamente os riscos, o que torna a atualização dos sistemas a única solução considerada segura. "Isso não é um exercício", alertou Lukasz Olejnik, consultor independente de segurança e pesquisador visitante do King's College London, em entrevista à Wired. Segundo ele, milhões de sistemas podem ser afetados, especialmente se criminosos começarem a explorar rapidamente as vulnerabilidades. No pior cenário, ataques automatizados poderiam comprometer grandes parcelas da internet. O risco está relacionado à possibilidade de explorar as falhas sem precisar de credenciais de acesso. Segundo pesquisadores da Wiz, empresa de segurança pertencente ao Google, invasores podem executar códigos maliciosos nos servidores afetados ou acessar informações armazenadas temporariamente na memória dos sistemas, incluindo senhas, tokens de autenticação, chaves de API e certificados digitais. A velocidade dos possíveis ataques também preocupa. A Cloudflare informou ter identificado sinais iniciais de exploração antes mesmo da divulgação oficial das vulnerabilidades. Já a empresa de segurança Sansec estimou que ataques em massa poderiam começar apenas 15 minutos depois da publicação das correções. O alerta levou algumas organizações a retirarem preventivamente seus sites do ar. Segundo a Reuters, páginas de órgãos do governo da Finlândia e da França, além do site do Porto de Roterdã, ficaram indisponíveis durante o período de preparação para as atualizações. A inteligência artificial também aparece nos dois lados dessa corrida. A Wiz afirmou que seus pesquisadores utilizaram parcialmente ferramentas de IA para descobrir as vulnerabilidades. A OpenAI e a empresa de segurança Calif também relataram ter identificado os problemas de maneira independente e trabalhado em conjunto. Ao mesmo tempo, especialistas alertam que a tecnologia pode acelerar a exploração das falhas por criminosos. Diante da gravidade, autoridades de segurança digital de países como Reino Unido e Austrália recomendaram que empresas identifiquem imediatamente os sistemas que utilizam PHP e instalem as correções disponíveis. O Centro Nacional de Segurança Cibernética britânico também orientou que organizações considerem retirar temporariamente sistemas do ar quando não for possível atualizá-los com rapidez. Mais Lidas