A equipe responsável pelo PHP anunciou uma atualização emergencial de segurança para esta quarta-feira (21), às 14h UTC, destinada a corrigir duas vulnerabilidades críticas. O CERT-EU, órgão de resposta a incidentes cibernéticos da União Europeia, alertou que as falhas podem permitir a execução remota de código sem autenticação, colocando servidores e aplicações expostos à internet em risco.
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam pontuação de 9,2 na escala CVSS 4.0, classificação considerada crítica. Em comunicado publicado na terça-feira (20), os responsáveis pelo PHP recomendaram que administradores se preparem para instalar as correções assim que forem disponibilizadas.
O alerta tem alcance potencialmente amplo. O PHP é utilizado por plataformas como WordPress, Drupal, Joomla e Magento, além de lojas virtuais, sistemas empresariais e serviços de hospedagem. Uma exploração bem-sucedida poderia permitir que invasores executassem comandos maliciosos em servidores vulneráveis, com possíveis consequências para dados e operações.
Diante da gravidade, o CERT-EU recomendou identificar os sistemas que utilizam PHP e preparar sua atualização imediata. Organizações que não conseguirem aplicar as correções devem considerar o isolamento temporário das aplicações expostas à internet até que seja possível protegê-las.
Segundo a Reuters, Dane Knecht, diretor de tecnologia da Cloudflare, relatou sinais iniciais de tentativas de exploração. A empresa estava ajustando suas regras de firewall para bloquear possíveis ataques, mas ressaltou que essas medidas são provisórias e não substituem a instalação dos patches.
O Centro Australiano de Segurança Cibernética (ACSC), por sua vez, informou que ainda não tinha conhecimento de exploração ativa relacionada às vulnerabilidades. Os relatos disponíveis, portanto, não permitem concluir que ataques generalizados estejam ocorrendo.
Atualizar o WordPress não significa corrigir o PHP do servidor
Um dos principais riscos operacionais está na diferença entre atualizar uma aplicação e corrigir o ambiente em que ela funciona.
O WordPress, por exemplo, depende do PHP instalado no servidor para executar suas funcionalidades. Atualizações automáticas do WordPress não garantem a correção de vulnerabilidades no próprio PHP, conforme alertou a empresa de segurança Wordfence à Reuters.
Isso significa que um site pode estar com o WordPress, seus temas e plugins atualizados e ainda utilizar uma versão vulnerável do interpretador PHP.
Para administradores, a primeira providência é identificar a versão de PHP efetivamente utilizada por cada aplicação e verificar quem é responsável por mantê-la. Em hospedagens gerenciadas, essa tarefa pode depender do provedor. Em servidores próprios, a atualização normalmente fica sob responsabilidade da equipe técnica.
Também é necessário identificar os sistemas expostos, preparar backups, organizar uma janela de manutenção e acompanhar os comunicados oficiais para instalar as versões corrigidas assim que estiverem disponíveis. Depois da atualização, o funcionamento das aplicações deve ser verificado.
Firewalls e restrições temporárias de acesso podem reduzir a exposição enquanto os patches não são aplicados, mas não eliminam a vulnerabilidade do interpretador.
Até o comunicado consultado nesta quarta-feira (21), a equipe do PHP ainda não havia confirmado quais versões estavam afetadas nem divulgado as versões corrigidas. O CERT-EU mencionou a possibilidade de impacto sobre versões desde o PHP 5, informação que permanecia sem confirmação oficial.
A identificação definitiva dos sistemas vulneráveis dependerá dos detalhes técnicos previstos para acompanhar a publicação das correções.
