Duas falhas críticas no interpretador PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, levaram governos europeus a suspender temporariamente alguns serviços digitais por precaução. Classificadas com gravidade 9,2 em 10, as vulnerabilidades podem permitir que invasores executem código remotamente em servidores afetados.
O projeto PHP divulgou correções em 21 de outubro de 2026. O episódio também interessa a organizações no Brasil: PHP é usado por aplicações e serviços acessíveis pela internet, e a proteção exige atualizar o interpretador instalado no servidor, não apenas o sistema de gestão de conteúdo.
As suspensões preventivas e as tentativas de exploração relatadas não comprovam que os sites afetados tenham sido invadidos. Tampouco significam que todos os servidores que utilizam PHP sejam vulneráveis nas mesmas condições.
O que são as falhas PHP2Shell
O PHP é uma linguagem executada em servidores e utilizada por aplicações como WordPress, Drupal e Joomla. As falhas PHP2Shell estão relacionadas ao gerenciamento de memória do interpretador: uma envolve situações de falta de memória que podem deixar estruturas internas inconsistentes; a outra, referências a memória já liberada.
Em condições específicas, esses problemas podem permitir a execução remota de código sem autenticação. O código malicioso começaria a ser executado com os privilégios do processo da aplicação, o que não significa necessariamente obter acesso administrativo total ao servidor.
A nota 9,2 na escala CVSS 4.0 indica gravidade elevada, mas não significa que 92% dos servidores estejam vulneráveis. A possibilidade de exploração depende da versão, da configuração e do ambiente.
Governos adotaram medidas preventivas
O governo dos Países Baixos retirou temporariamente do ar páginas como Overheid.nl e MijnOverheid.nl, além de um site relacionado ao DigiD, serviço nacional de identificação digital. A medida não indica, por si só, que todas as funções de autenticação do DigiD tenham sido interrompidas.
Órgãos da Finlândia também restringiram serviços por precaução, enquanto a Reuters relatou a suspensão temporária de páginas administrativas na França. As medidas buscavam reduzir a exposição enquanto as organizações avaliavam e corrigiam seus sistemas.
A Cloudflare relatou ter observado tráfego de ataque e tentativas de modificar requisições maliciosas para contornar proteções. A observação de tentativas de exploração não confirma, por si só, que algum servidor tenha sido comprometido.
Correções exigem atualização do PHP
Em 21 de outubro, o projeto PHP publicou as versões corrigidas 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Administradores devem identificar quais aplicações utilizam versões afetadas, aplicar a correção adequada e confirmar que os processos em execução já carregam os componentes corrigidos.
Em distribuições Linux, uma correção pode ser incorporada a um pacote por meio de backport, sem que o número da versão corresponda exatamente ao listado pelo projeto PHP. Por isso, é necessário consultar as informações do fornecedor e verificar o pacote instalado.
O WordPress esclareceu que atualizar apenas o próprio WordPress, seus temas ou plugins não substitui a atualização do PHP utilizado pelo servidor. Medidas como firewall de aplicações web e restrição de acesso aos servidores de origem podem ajudar a reduzir a exposição, mas não substituem a correção.
O que o alerta significa para organizações brasileiras
A disseminação do PHP torna o caso relevante para órgãos públicos e empresas no Brasil. Dependendo das permissões e do isolamento do servidor, uma exploração poderia expor dados, permitir alterações indevidas, causar indisponibilidade ou abrir caminho para acesso a outros recursos. Esses são riscos potenciais, não evidência de ataques confirmados a instituições brasileiras nesta campanha.
Para equipes de tecnologia e segurança, o próximo passo é manter inventário dos componentes digitais, consultar os avisos dos fornecedores e confirmar a instalação das correções nos ambientes afetados. Até que surjam evidências adicionais, o PHP2Shell deve ser descrito com precisão: há falhas críticas, tentativas de exploração observadas e suspensões preventivas, situações distintas de uma invasão comprovada.
