Vulnerabilidades PHP provocam encerramentos globais de websites

A Fundação PHP anunciou correções para CVE-2026-109618 e CVE-2026-109619 na quarta-feira. Os defeitos poderiam permitir que atacantes tomassem controlo remoto de servidores. As correções foram lançadas antes das 10h00 ET. A Fundação PHP observou que atualizar é a única escolha segura.

Governos e sites de grande porte encerraram sites para evitar exploração. A Australian Signals Directorate, a polícia francesa, o serviço de TI do governo alemão, o Ministério dos Negócios Estrangeiros da Bélgica, a agência de cibersegurança holandesa, o Serviço Nacional de Cartografia da Finlândia e outros retiraram sites offline. A Agência de Segurança Nacional dos EUA alertou que as falhas poderiam proporcionar acesso direto a sistemas de ficheiros ou bases de dados. O Centro Nacional de Segurança Cibernética do Reino Unido aconselhou a verificação de backdoors.

O CTO da Cloudflare, Dane Knecht, afirmou que ataques iniciais estavam surgindo. A Cloudflare atualizou as regras do firewall como medida provisória. As vulnerabilidades foram inicialmente sinalizadas por empresas de segurança Calif e Wiz, utilizando ferramentas de IA.

O PHP alimenta cerca de 75% dos sites que podem ser identificados. A linguagem é gratuita, de código aberto e mantida por voluntários. WordPress, Wikipedia, Slack e o Magento da Adobe são construídos sobre PHP.

As vulnerabilidades afetam todas as instalações PHP a partir da versão 5, embora apenas o PHP 8.2+ receba suporte oficial. Versões legadas do PHP podem ainda ser vulneráveis se não forem corrigidas.