O PHP (Hypertext Preprocessor) virou assunto nesta quarta-feira (21) após duas vulnerabilidades críticas chegarem ao conhecimento público. As falhas fizeram governos e empresas do mundo inteiro tirarem sites do ar para evitar que o problem escalasse. Mas o que significa PHP?

O PHP é uma linguagem de programação de código aberto criada especialmente para desenvolvimento web. Ela é uma das soluções mais populares do mundo, usada por quase 70% dos sites cuja linguagem do lado do servidor é conhecida, segundo levantamento do W3Techs.

A linguagem não está disponível em uma única versão, porém – a versão estável mais recente é a PHP 8.5. Conforme o levantamento, 65,2% dos sites que usam PHP estão estruturados na versão 8. A linguagem é de código aberto e uso gratuito, sendo desenvolvida pela comunidade e por desenvolvedores apoiados pela PHP Foundation.

Por que o PHP é tão popular?

O PHP é relativamente fácil de aprender e permite inserir código diretamente no HTML. O amplo ecossistema da linguagem também a torna mais atrativa, já que soluções para problemas, ferramentas e outros recursos são facilmente encontrados pela web.

Além disso, a linguagem oferece considerável potencial de escalabilidade – importante para o gerenciamento de altas cargas de tráfego – e também se relaciona bem com sistemas de gerenciamento de bancos de dados comuns, como MySQL, MongoDB e PostgreSQL.

Entre os softwares desenvolvidos em PHP estão grandes plataformas de gerenciamento de conteúdo, como WordPress e Drupal, que servem como base para vários sites e blogs da internet. No Brasil, sites de grandes serviços também usam PHP em algum nível.

Quais foram as vulnerabilidades encontradas no PHP?

As duas vulnerabilidades de segurança críticas encontradas no PHP foram a CVE-2026-109618 e a CVE-2026-109619. Como noticiado pelo TecMundo, as brechas podem permitir a execução remota de código por criminosos sem exigir nenhum tipo de autenticação.

• CVE-2026-109618 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP utiliza a função longjmp() em casos de erros por falta de memória (OOM, na sigla em inglês) para sair do contexto atual e interromper o processamento da requisição. Alguns contextos podem não lidar adequadamente com esse cenário, deixando a memória da requisição em um estado não inicializado antes de realizar uma alocação. O procedimento de limpeza da requisição, executado na sequência, lê essa memória e a utiliza para determinar o fluxo de execução. Diferentes estratégias relacionadas a erros de falta de memória podem desencadear essa condição de forma consistente, possibilitando a execução remota de código;
• CVE-2026-109619 (pontuação CVSS v4.0: 9,2 – nível crítico): o PHP possui diversos estados globais que apontam temporariamente para a memória de uma requisição. Em alguns cenários, um estado global pode não ser redefinido corretamente ou pode ser repopulado após a redefinição. Assim, o estado global pode acabar referenciando uma memória que já foi liberada. Requisições subsequentes podem ler esse estado obsoleto – ou tomar decisões com base nele – antes que ele seja totalmente inicializado. Diversas estratégias podem desencadear essa condição e resultar em execução remota de código.

Contudo, as brechas não foram descobertas hoje. Em 11 de agosto deste ano, a empresa de segurança Calif reportou uma vulnerabilidade de execução remota de código relacionada à mesma causa raiz. No mesmo dia, a OpenAI fez uma descoberta independente relacionada ao problema. A Wiz Research também encontrou as falhas em uma pesquisa independente e reportou seus achados à equipe de segurança do PHP em 24 de agosto.

Então, na última terça-feira (20), os detalhes das descobertas vazaram online antes do previsto. Para evitar que os sistemas sejam invadidos, empresas e entidades governamentais desligaram servidores.

As falhas estão contidas no núcleo do PHP, e não em um plugin ou componente específico. Por isso, instalações vulneráveis podem ser afetadas independentemente da aplicação executada sobre a linguagem. O problema está presente em versões do PHP entre a 5.4 e a 8.5.11.

De acordo com a GoDaddy, provedora de hospedagem na web, a execução remota de código pode resultar em roubo de dados ou deface (vandalização de páginas), por exemplo. Por se tratar de um problema no próprio PHP, a correção exige a atualização da linguagem no servidor, tarefa que cabe aos administradores da infraestrutura ou aos provedores de hospedagem.

As falhas também afetaram sites brasileiros. O Sistema Eletrônico de Informações (SEI) da Agência Nacional de Telecomunicações (Anatel) foi tirado do ar temporariamente para evitar o acesso indevido.

Correção de emergência foi liberada

Após a descoberta, a equipe de desenvolvimento do PHP liberou pacotes de emergência nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Vários administradores e provedores de hospedagem já implementaram as correções – a GoDaddy, por exemplo, corrigiu as versões PHP na Hospedagem Gerenciada para WordPress.

“Se você usa PHP, é imperativo atualizá-lo imediatamente”, alertou a PHP Foundation, que financia desenvolvedores que contribuem com a linguagem.

Agora, cabe às equipes de desenvolvimento cujos projetos sejam estruturados com PHP se atentarem à correção e, se necessário, aplicá-la. O processo de correção varia conforme a infraestrutura adotada e, em alguns casos, acontece de forma automática.

Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre cibersegurança, PHP e segurança na web.