MADRID 21 out. (Portaltic/EP) -
A equipe de segurança do ecossistema PHP informou sobre duas vulnerabilidades críticas que poderiam permitir a execução remota de código (RCE), afetando plataformas como o WordPress, MediaWiki ou Symphony, entre outras, o que levou ao lançamento de uma atualização de segurança urgente nesta quarta-feira e obrigou ao isolamento preventivo de sites e aplicativos da web em todo o mundo por motivos de segurança.
O PHP é uma linguagem de programação de código aberto comumente utilizada para criar sites e aplicativos web, bem como para processar formulários, gerenciar sessões ou consultar bancos de dados; por isso, está amplamente presente na internet e é amplamente utilizada por desenvolvedores em todo o mundo.
Nesse contexto, foram identificadas duas vulnerabilidades de execução remota de código no ecossistema PHP que, identificadas como CVE-2026-109618 e CVE-2026-109619, atingiram uma pontuação de gravidade de 9,2 em 10 na escala CVSS 4.0, o que indica que são críticas.
Para corrigir essas vulnerabilidades, a equipe do PHP anunciou que lançará uma atualização de segurança nesta quarta-feira, 21 de outubro, ao mesmo tempo em que instou todos os usuários do PHP a se prepararem para atualizar “assim que o lançamento estiver disponível”, conforme informado em um comunicado em seu site oficial e em uma publicação na rede social X.
As vulnerabilidades foram identificadas pela empresa de segurança cibernética watchTowr, que destacou que elas são conhecidas como “PHP2shell” e poderiam permitir que invasores executassem seu próprio código em servidores afetados, assumindo o controle para alterar sites de forma maliciosa ou roubar dados.
Além disso, os pesquisadores indicaram que ambas as vulnerabilidades afetam todas as versões da linguagem PHP, a partir do PHP 5, embora não tenha sido relatada nenhuma exploração dessas falhas.
Na prática, essas vulnerabilidades atingem uma ampla parcela da internet. Para citar um exemplo, afetam todos os sites da plataforma WordPress, já que todos funcionam em servidores que utilizam PHP, o que representa 40% da internet, conforme relatado pela própria empresa em um comunicado em seu blog, onde destacou que caberá aos proprietários dos sites atualizar o PHP manualmente.
Da mesma forma, a Equipe de Resposta a Emergências Cibernéticas da União Europeia emitiu um alerta sobre essas vulnerabilidades e a atualização prevista para corrigi-las. Nele, recomendou que as organizações que não puderem implementar o patch imediatamente “devem considerar isolar as aplicações voltadas para a internet das redes públicas até que haja uma solução disponível”.
No entanto, a atualização está prevista para ser lançada nesta quarta-feira às 14h UTC, ou seja, às 16h no horário da Espanha peninsular.
Enquanto isso, aplicativos e sites foram isolados preventivamente em nível global. Por exemplo, ao acessar a página oficial do WordPress, no momento da redação desta notícia, aparece uma mensagem informativa indicando que seus serviços estão temporariamente indisponíveis enquanto são aplicadas “medidas de mitigação para a vulnerabilidade PHP2Shell, para a qual ainda não há patch”.
Por sua vez, o diretor de tecnologia da Cloudflare, Dane Knecht, compartilhou em uma publicação no X que já foram detectados “ataques iniciais” contra sites PHP da plataforma. Por isso, estão implementando “medidas de mitigação à medida que novos vetores surgem”, até que a atualização do equipamento PHP esteja disponível.
Esta notícia foi traduzida por um tradutor automático