Uma vulnerabilidade crítica na linguagem PHP foi identificada em 2024, provocando a retirada preventiva de milhares de sites ao redor do mundo a partir de 21 de outubro de 2026. A Fundação PHP confirmou que os primeiros indícios surgiram durante uma auditoria externa realizada pela empresa francesa de cibersegurança Quarkslab. O problema afeta servidores que executam código PHP, permitindo que invasores assumam o controle sem necessidade de credenciais de login.
Como a vulnerabilidade foi descoberta
A descoberta inicial ocorreu durante uma revisão de segurança mandatada pela própria comunidade de desenvolvedores do PHP. A Quarkslab, contratada para conduzir a auditoria, encontrou um padrão de execução inesperado que poderia ser explorado por código malicioso. Pouco depois, a empresa de segurança Calif e a OpenAI, responsável pelo ChatGPT, reportaram a mesma falha de forma independente, confirmando a gravidade do achado.
Em agosto de 2026, a Wiz, especializada em segurança na nuvem, divulgou que havia conseguido explorar a vulnerabilidade usando modelos avançados de IA, como Gemini 4 Argon do Google e GPT‑5.6 Sol da OpenAI. Segundo a Wiz, essas ferramentas permitiram automatizar a descoberta de vetores de ataque que antes exigiam anos de pesquisa manual.
Impactos globais e medidas de contenção
Desde a quarta‑feira, 21 de outubro, governos e grandes corporações de diversos continentes removeram temporariamente seus sites para impedir possíveis invasões. No Brasil, a Anatel e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI) como medida preventiva, embora não haja relatos de interrupções significativas até o momento.
Os ataques exploram a falha para injetar código que roda diretamente no servidor, contornando autenticações e permitindo o roubo de dados sensíveis, a instalação de ransomware ou a criação de botnets. A gravidade levou à publicação imediata de um patch de correção, que já está disponível para download nos repositórios oficiais do PHP.
- Retirada preventiva de sites em mais de 30 países;
- Suspensão de serviços críticos, como o SEI no Brasil;
- Alerta emitido por agências de segurança cibernética internacionais.
Desafios na correção e papel da inteligência artificial
A Fundação PHP atribuiu o atraso na implementação da correção a três fatores principais: recursos financeiros limitados, dependência de um pequeno grupo de desenvolvedores voluntários e a complexidade de decidir a melhor estratégia de mitigação. Esses elementos foram detalhados em nota oficial divulgada no site da fundação.
Para acelerar a análise, a fundação recorreu a ferramentas de IA, como o Claude Mythos, que ajudam a validar relatórios de vulnerabilidade e a priorizar correções. Contudo, a IA ainda não é capaz de determinar a arquitetura ideal para o patch, exigindo revisão humana intensiva.
A própria Wiz destacou que, sem o apoio da IA, a exploração das vulnerabilidades teria demandado mais de uma década de pesquisa. O uso de modelos avançados reduziu o tempo de descoberta de semanas para horas, evidenciando um novo paradigma na segurança de software.
- Falta de financiamento sustentável para projetos de código aberto;
- Dependência de contribuidores voluntários com disponibilidade limitada;
- Dificuldade em coordenar decisões técnicas entre equipes distribuídas globalmente.
Perspectivas e recomendações para desenvolvedores
Especialistas recomendam que administradores de sistemas atualizem imediatamente seus ambientes PHP para a versão que inclui o patch de segurança. Além disso, é essencial revisar as configurações de permissões de arquivos e desativar funções potencialmente perigosas, como eval() e exec(), que podem ser alvos de exploração.
Outras boas práticas incluem a implementação de firewalls de aplicação web (WAF), monitoramento contínuo de logs de acesso e a adoção de políticas de backup regulares. A comunidade também deve incentivar a criação de fundos de apoio ao desenvolvimento de segurança em projetos de código aberto.
- Atualizar para a versão mais recente do PHP imediatamente;
- Desativar funções de execução dinâmica de código;
- Implementar WAF e monitoramento de logs;
- Estabelecer rotinas de backup e recuperação;
- Contribuir financeiramente para projetos de segurança de código aberto.
Com a correção já disponível, a expectativa é que a maioria dos sites volte ao ar nos próximos dias, desde que os administradores adotem as medidas recomendadas. A situação reforça a necessidade de investimento contínuo em segurança e de colaboração entre desenvolvedores, pesquisadores e empresas de IA para prevenir incidentes semelhantes no futuro.
