Notícias – R.S. Works T.I. Soluções em T.I. – Desenvolvimento Web e Aplicações
Na quarta-feira, 21 de outubro de 2026, o PHP publicou correções urgentes para duas falhas críticas de segurança. Governos e empresas de vários países tiraram sites do ar por precaução, e no Brasil a Anatel e tribunais federais suspenderam sistemas até concluir a atualização. Se o site ou o sistema da sua empresa roda em PHP, este é o momento de conferir se ele já foi atualizado.
O que é o PHP
O PHP é uma das linguagens de programação mais usadas na internet. Ele roda no servidor e monta as páginas que você vê no navegador: está por trás do WordPress, de lojas virtuais, de sistemas de gestão e de boa parte dos sites de empresas. Quem visita o site não percebe, mas é o PHP que processa formulários, logins e pedidos.
O que aconteceu
As duas falhas, chamadas de “php2shell” (CVE-2026-109618 e CVE-2026-109619), receberam nota 9,2 numa escala de 10. Elas permitem que alguém de fora execute comandos no servidor sem precisar de senha, apenas enviando requisições preparadas ao site. Na prática, um invasor poderia ler dados, alterar páginas ou usar o servidor para outros ataques.
As falhas foram identificadas em agosto pelas empresas Calif e OpenAI, de forma independente. A empresa de segurança Wiz encontrou outras formas de explorá-las com a ajuda de modelos de inteligência artificial e afirmou que os problemas existiam havia mais de uma década. O caso mostra os dois lados da IA: ela ajuda a encontrar falhas, mas também pode facilitar ataques.
A CISA, agência de segurança digital dos Estados Unidos, emitiu alerta no mesmo dia pedindo correção imediata. Até a publicação do alerta, não havia ataques confirmados, mas já circulam códigos de demonstração e tentativas de sondagem, o que aumenta o risco a cada dia sem atualização.
A repercussão no Brasil
O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) divulgou alerta, e o Ministério da Gestão e da Inovação orientou as equipes do governo federal a retirar temporariamente do ar os sistemas em PHP até a correção. A Anatel suspendeu o acesso externo ao SEI e a outros serviços, e os TRF1, TRF4 e TRF6 adotaram medidas parecidas.
Quem precisa se preocupar
Qualquer site ou sistema em PHP que esteja na internet e use uma versão anterior às corrigidas. As versões seguras são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Versões mais antigas, como o PHP 8.1, o 7.4 ou anteriores, já não recebem correções. Quem ainda usa uma delas está exposto a esta e a outras falhas, e precisa planejar a migração para uma versão com suporte.
O que fazer agora
- Descubra a versão do PHP do seu site. Ela aparece no painel da hospedagem (cPanel, Plesk ou similar) ou pode ser informada pelo suporte do provedor.
- Peça a atualização ao seu provedor de hospedagem ou atualize pelo painel, se a versão corrigida já estiver disponível. O próprio PHP afirma que atualizar é a única correção completa.
- Enquanto a atualização não sai, peça ao responsável técnico para aplicar as medidas temporárias recomendadas, como desligar a opção session.upload_progress do PHP, e acompanhar os registros do servidor.
- Depois de atualizar, teste o site: formulários, login, área do cliente e pagamentos.
- Mantenha as atualizações em dia. Falhas como esta aparecem de tempos em tempos, e quem atualiza rápido fica protegido antes dos ataques em massa.
Como a RS Works TI está agindo
Acompanhamos o alerta desde o dia 21 e já solicitamos a atualização dos servidores que administramos. Se a sua empresa tem um site ou sistema em PHP e você não sabe se ele está protegido, fale com a gente: verificamos a versão, cuidamos da atualização e testamos tudo depois.
