Se você tem um site, uma loja virtual ou um blog, pergunte à sua hospedagem se o PHP foi atualizado. Duas falhas críticas, anunciadas em 21 de outubro, atingem praticamente toda versão do PHP lançada na última década, e já há ataques acontecendo.
O tamanho do problema
As falhas, CVE-2026-109618 e CVE-2026-109619, permitem que um invasor execute código à escolha em um servidor vulnerável. Segundo o Krebs on Security, elas afetam servidores web com PHP 5.4 ou superior. A Wiz afirma que toda versão lançada nos últimos dez anos tem ao menos uma das duas (a Wiz é anunciante do blog, o que o texto informa).
O PHP roda por baixo de plataformas como WordPress, Drupal, Joomla e Magento. A Censys achou cerca de 2,58 milhões de máquinas na internet com PHP e 54,9 milhões de sites. Cerca de 70% deles, segundo a reportagem, precisam de atualização do núcleo do software. A Wiz compara o caso ao Log4Shell, de 2021.
Já estão sendo explorados
Há exploits funcionando, e a Cloudflare disse ter detectado tentativas de ataque e ativado regras no firewall de aplicações. A Wiz espera ataques em massa para instalar web shells, programas que dão ao invasor controle remoto do site. A Reuters informou que sites de governos na Europa e em outros lugares saíram do ar depois da divulgação. A OpenAI, que participou da pesquisa, chamou o caso de “um dos problemas de segurança mais impactantes da memória recente”.
A correção
O PHP lançou uma atualização de emergência no mesmo dia. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e a Ubuntu já publicou pacotes novos. A Wiz avisa que muitas organizações vão demorar a atualizar, porque o PHP está embutido em tudo. A Censys criou um painel de acompanhamento em php2shell.censys.com.
Como se proteger
- Descubra a versão do PHP do seu site no painel da hospedagem e atualize para uma das versões corrigidas. Se a hospedagem gerencia isso, pergunte quando será feito.
- Atualize o WordPress, os temas e os plugins para a versão mais recente.
- Ative um firewall de aplicações, como o da Cloudflare, que oferece alguma proteção até a atualização.
- Faça backup do site agora, de preferência fora do servidor.
- Procure arquivos estranhos na pasta do site, como scripts que você não criou, e troque as senhas de administração se achar algum.
