Duas vulnerabilidades críticas identificadas na linguagem de programação PHP, uma das mais utilizadas no desenvolvimento de sites, colocaram o setor de segurança digital em alerta. A tecnologia é amplamente empregada em páginas governamentais e em plataformas de gerenciamento de conteúdo, como WordPress e Joomla.
O alerta foi emitido pela equipe responsável pelo desenvolvimento e pela manutenção do PHP, que disponibilizou uma atualização de emergência para corrigir as duas falhas de segurança.
A Agência de Segurança Nacional dos Estados Unidos (NSA) também se manifestou sobre o caso. Em uma publicação na rede social X, o órgão recomendou que “todas as organizações que utilizam PHP em seus sistemas” instalem a atualização para corrigir as duas vulnerabilidades críticas.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server’s file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.
— NSA Cyber (@NSACyber) October 21, 2026
“Essas vulnerabilidades costumam oferecer um caminho direto para o sistema de arquivos ou para o banco de dados de um servidor”, informa a publicação. A agência também alerta que, caso não seja possível instalar a atualização imediatamente, a recomendação é retirar os sistemas do ar até que a correção possa ser aplicada.
O alerta foi reforçado por diversas agências europeias de segurança cibernética, incluindo o Centro Nacional de Cibersegurança (CNCS), de Portugal, que divulgou um comunicado sobre o caso em sua página no Facebook.
“A equipe de desenvolvimento do PHP disponibilizou uma atualização de emergência para corrigir duas vulnerabilidades críticas, ambas classificadas com pontuação 9,2 no CVSS v4.0”, informou o órgão português.
O CVSS é um sistema internacional utilizado para avaliar a gravidade de falhas de segurança em softwares. A pontuação de 9,2, em uma escala de zero a dez, indica um nível crítico de risco.
O CNCS também destacou que os detalhes técnicos das vulnerabilidades ainda não foram divulgados publicamente.
O Centro Nacional de Cibersegurança (CNCS) de Portugal também divulgou orientações para organizações que utilizam PHP em seus sites e sistemas. Entre as principais recomendações está a instalação da atualização de segurança assim que estiver disponível, sempre por meio das fontes oficiais do projeto, para garantir o uso das versões corrigidas.
O órgão também orienta as empresas a realizarem uma análise completa de seus sistemas, dando prioridade àqueles que podem ser acessados diretamente pela internet. Outra medida recomendada é avaliar a possibilidade de isolar aplicações expostas das redes públicas, reduzindo os riscos de ataques.
Caso sejam identificados sinais de invasão, a recomendação é agir imediatamente.
“Havendo indícios de comprometimento, isolar o servidor, preservar os registros do servidor web e do PHP e procurar webshells e arquivos novos no diretório principal do site, bem como tarefas agendadas e contas criadas recentemente”, informa o comunicado.
As webshells são ferramentas maliciosas que podem permitir a invasores executar comandos e controlar remotamente um servidor comprometido.
O que diz a equipe responsável pelo PHP?
A PHP Foundation, organização que atua na manutenção e no desenvolvimento da linguagem de programação, também se pronunciou oficialmente sobre a descoberta das duas vulnerabilidades.
Segundo a entidade, as falhas são consideradas especialmente graves porque estão localizadas em partes fundamentais do código PHP, utilizadas em praticamente todas as solicitações processadas pelos servidores.
A preocupação aumenta devido à ampla utilização dessa linguagem na internet. Estima-se que aproximadamente 70% dos sites utilizem PHP, o que amplia significativamente o número de sistemas potencialmente expostos às vulnerabilidades.
A presença da linguagem em milhões de páginas, no entanto, não significa que todos esses sites tenham sido invadidos ou estejam necessariamente vulneráveis, já que o risco depende de fatores como a versão utilizada e a aplicação das correções de segurança.
“Sua posição central no PHP é o que torna ambas as vulnerabilidades graves e, ao mesmo tempo, difíceis de corrigir sem comprometer a compatibilidade, prejudicar o desempenho ou exigir alterações em um vasto ecossistema de extensões de terceiros”, explicou a PHP Foundation em comunicado oficial.
Vulnerabilidades foram descobertas com ajuda de inteligência artificial
De acordo com a agência de notícias Reuters, as duas vulnerabilidades foram identificadas pela empresa de segurança cibernética Calif, em colaboração com a OpenAI.
A descoberta contou com o auxílio do modelo de inteligência artificial GPT-5.6 Sol e foi comunicada pela primeira vez em 11 de agosto de 2026.
Poucos dias depois, em 24 de agosto, a empresa de segurança cibernética Wiz, pertencente à Alphabet, controladora do Google, também identificou as vulnerabilidades utilizando ferramentas de inteligência artificial.
Segundo a Wiz, as falhas permaneceram presentes no código PHP durante décadas, sem terem sido identificadas pelos métodos tradicionais de investigação.
A empresa classificou as vulnerabilidades como algumas das mais graves já descobertas na linguagem de programação.
“Estão entre as vulnerabilidades mais críticas já detectadas em PHP e, possivelmente, na história do software”, afirmou a companhia.
A Wiz também destacou a complexidade técnica das falhas, explicando que seria extremamente difícil para pesquisadores humanos demonstrar sua existência sem o auxílio de ferramentas avançadas.
De acordo com a empresa, a descoberta estava “na fronteira daquilo que os pesquisadores humanos eram capazes de conseguir na prática”, evidenciando o papel que a inteligência artificial passou a desempenhar na identificação de problemas de segurança em sistemas amplamente utilizados na internet.
[Notícia atualizada às 10h51]
Leia Também: Japão deteta uso de ferramenta chinesa de IA em ciberataques
