Falha no PHP, a linguagem por trás da maioria dos sites, leva governos a desligar serviços na Europa e noutras regiões

Díli, 22 de outubro de 2026 (RAFA) – Duas falhas graves no PHP, a tecnologia que faz funcionar a maioria dos sites do mundo, obrigaram governos, hospitais e empresas a retirar serviços do ar, com várias tentativas de ataque já registadas.

As falhas foram descobertas com recurso a inteligência artificial e permitem, em teoria, que um atacante tome o controlo de um servidor sem precisar de qualquer palavra-passe.

As correções foram publicadas na quarta-feira, mas muitos sites ainda não as aplicaram, o que mantém o risco elevado.

Para o utilizador comum, o efeito mais visível foi a indisponibilidade temporária de serviços públicos.

Nos Países Baixos, o centro nacional de cibersegurança retirou o seu próprio site do ar, seguido do portal Overheid.nl, do MijnOverheid, do DigiD, o sistema de identificação digital usado para aceder a serviços públicos, do Parlamento, do porto de Roterdão, da federação de futebol, dos sites dos cinco maiores partidos e de vários hospitais. O Governo neerlandês esclareceu que muitos sites oficiais, como o Rijksoverheid.nl, não usam PHP e não foram afetados.

A Finlândia desligou os serviços públicos de rede do Estado, a França colocou todos os sites do Ministério do Interior em manutenção preventiva, e a Dinamarca suspendeu serviços, incluindo a plataforma nacional de comunicação das escolas.

Segundo outros meios, a Alemanha, a Bélgica e o Canadá tomaram medidas semelhantes.

A Wikimedia retirou sistemas de serviço até serem corrigidos, o Internet Archive esteve brevemente inacessível e, na Suíça, um fornecedor de alojamento desligou todos os serviços de hospedagem durante a atualização. Na Austrália, o próprio site da agência de cibersegurança figurou entre os afetados.

Os cortes foram preventivos e, até ao momento, não há confirmação de que sistemas governamentais tenham sido comprometidos. Ao fim do dia de quarta-feira, vários serviços neerlandeses, incluindo o DigiD, hospitais e partidos, regressaram ao ar depois de aplicadas as correções, mas o Parlamento e o Overheid.nl continuavam inacessíveis em atualizações tardias.

O PHP, criado no início da década de 1990, está presente em cerca de 70% dos sites, segundo a Wiz, e em cerca de 75% dos sites cuja linguagem é identificável, segundo a W3Techs. Está integrado em plataformas como WordPress, Drupal, Joomla e Magento, pelo que qualquer falha grave tem efeito em cadeia. A presidente interina da Drupal Association, Tiffany Farriss, afirmou que a questão “afeta a maioria da internet”. A Wiz considera que os problemas estão “entre as vulnerabilidades mais graves” já encontradas no PHP.

Os riscos são maiores para sites pequenos, de indivíduos ou organizações com poucos meios técnicos, muitas vezes alojados em serviços partilhados em que o cliente não controla o servidor. A Automattic, operadora do WordPress.com, garantiu que os utilizadores das suas soluções alojadas e do Tumblr não estão em risco.

Agências de cibersegurança dos Estados Unidos, da União Europeia, do Reino Unido, do Canadá, da Austrália, de Singapura e do Japão pediram às organizações que atualizem de imediato ou, se não puderem, desliguem os sistemas até haver correção. A NSA e a agência norte-americana CISA emitiram avisos na quarta-feira.

A primeira-ministra japonesa, Sanae Takaichi, fez um apelo público para que os responsáveis por sites verifiquem se usam PHP e apliquem a correção. A Casa Branca disse ter sido informada na sexta-feira anterior e estar a coordenar-se com agências federais e laboratórios de IA.

Não existe balanço consolidado de sistemas comprometidos. Segundo a Censys, cerca de 1,5 milhões dos 2,6 milhões de servidores identificados usam uma versão do PHP para a qual não há correção. Especialistas citados pela imprensa preveem uma vaga de intrusões, porque a correção é pública e a IA facilita a engenharia inversa das falhas, e antecipam consequências durante meses. O cofundador da empresa de investigação TLP:Black, Costin Raiu, descreveu uma corrida à exploração que poderá terminar no comprometimento em massa de servidores vulneráveis.

O estado da exploração é contraditório entre fontes. A Amazon detetou uma tentativa contra um sistema-isco a 17 de outubro, quatro dias antes da divulgação, e disse que as falhas estão agora a ser exploradas amplamente. A Cloudflare ativou regras de emergência contra os primeiros ataques e a watchTowr reportou exploração real. A CISA indicou, no momento da publicação do alerta, não ter observado exploração, e a Huntress disse não ter confirmado intrusões bem-sucedidas em sistemas de clientes.

Do ponto de vista técnico, as vulnerabilidades estão registadas como CVE-2026-109618 e CVE-2026-109619, ambas com gravidade de 9,2 em 10 na escala CVSS v4.0 atribuída pela equipa do PHP. A watchTowr atribuiu-lhes 10 em 10. Ambas permitem execução remota de código sem autenticação e estão no próprio interpretador, e não numa aplicação específica, pelo que mesmo uma aplicação mínima numa versão afetada pode ser explorada.

A primeira resulta do tratamento de erros de falta de memória: se um pedido atingir o limite de memória no pior momento possível, o PHP pode deixar dados internos parcialmente inicializados e tratá-los depois como válidos, corrompendo a memória. A segunda decorre de estado interno de um pedido que sobrevive depois de a memória ter sido libertada. A Wiz demonstrou ainda a leitura da memória dos processos do PHP, que pode conter palavras-passe, chaves de API e outras credenciais, e a Sansec indica que a primeira falha pode, por si só, expor memória de forma semelhante à falha Heartbleed. Segundo a Sansec, foi confirmada execução remota de código no Magento 2.4.9 e em outras dez aplicações PHP.

A Wiz afirma que todas as versões desde a 5.4 são afetadas por pelo menos uma das falhas. O aviso oficial do PHP fala em todas as versões anteriores às corrigidas, que são a 8.5.12, a 8.4.27, a 8.3.36 e a 8.2.35. As versões 5, 7 e 8.1 e anteriores já não têm suporte e não recebem correção, pelo que a CISA recomenda retirar do ar os sistemas que as usem e não possam migrar. O risco é maior em instalações com o módulo Apache mod_php, mas a equipa do PHP validou execução remota de código também no PHP-FPM. Desativar a opção “session.upload_progress” bloqueia apenas um dos caminhos conhecidos e não torna a instalação segura. A CISA recomenda ainda inventariar os sistemas que usem PHP, incluindo como componente de outro software, e vigiar processos do PHP que lancem comandos ou descarreguem ferramentas.

As falhas foram detetadas de forma independente pela Calif, com um investigador a usar um modelo da OpenAI numa auditoria ao código financiada pela empresa, e pela Wiz, que usou a sua ferramenta autónoma Wiz Atlas, o Gemini 4 Argon, da Google, e o GPT-5.6 Sol, da OpenAI. A Calif encontrou os primeiros caminhos de execução de código a 1 de agosto. A coordenação com a equipa do PHP decorreu durante cerca de dois meses, no âmbito da iniciativa “Patch the Planet” da OpenAI, e as falhas estiveram escondidas no código durante mais de uma década. O diretor executivo da Calif, Thai Duong, avisou que alguém pode usar IA contra as correções para produzir um programa de ataque.

A divulgação estava prevista para 22 de outubro, mas informações sobre as falhas vazaram a 20 de outubro, incluindo um vídeo que mostrava uma ferramenta de ataque a correr contra várias plataformas. O PHP publicou então um aviso prévio e antecipou as correções para as 14:00 UTC de quarta-feira, as 23:00 em Díli.

FIM