Uma falha em uma linguagem de programação pode parecer um problema restrito a quem escreve código. Mas, quando essa tecnologia está presente em milhões de sistemas, uma vulnerabilidade pode desencadear uma reação que envolve empresas, governos e equipes de segurança em diferentes países.

Foi o que aconteceu em 21 de outubro de 2026, quando foram divulgadas duas vulnerabilidades críticas no PHP, linguagem utilizada no desenvolvimento de sites e aplicações web. Conhecidas em conjunto como PHP2Shell, as falhas podem permitir que um invasor execute código remotamente em servidores vulneráveis sem precisar de login ou senha.

A gravidade levou a Agência de Segurança Nacional dos Estados Unidos (NSA) a recomendar a aplicação imediata das correções e, quando isso não fosse possível, a retirada temporária dos sistemas do ar até que estivessem protegidos. No Brasil, órgãos públicos também adotaram medidas preventivas, incluindo a suspensão de acessos externos ao Sistema Eletrônico de Informações (SEI).

O que é PHP?

PHP é uma linguagem de programação de código aberto usada principalmente no desenvolvimento de aplicações web. Ela é executada no servidor e permite processar solicitações, consultar bancos de dados, gerenciar sessões e produzir conteúdo dinâmico antes que a página seja entregue ao navegador.

A tecnologia está presente em sistemas de diferentes tamanhos e finalidades. Entre os exemplos está o WordPress, sistema famoso utilizado na criação e administração de sites. O ecossistema também inclui aplicações corporativas, portais institucionais e ferramentas de gestão.

A empresa de segurança Wiz estima que o PHP seja utilizado em cerca de 70% dos sites do mundo.

Por que afeta tantos sites e sistemas?

O alcance do problema está relacionado à posição do PHP na infraestrutura. Uma aplicação pode ter sido desenvolvida há anos, utilizar um framework conhecido e contar com regras próprias de autenticação, mas ainda depender do mecanismo de execução da linguagem instalado no servidor.

Quando a vulnerabilidade está nesse componente, atualizar apenas o sistema de gestão de conteúdo ou os plugins não resolve necessariamente o problema. É preciso verificar a versão do PHP que executa a aplicação e, quando aplicável, atualizar também os produtos que distribuem sua própria versão da linguagem.

Essa distinção é importante para empresas que utilizam serviços de hospedagem, plataformas de comércio eletrônico ou sistemas desenvolvidos por terceiros. O responsável pelo site pode nem administrar diretamente o servidor, mas precisa saber quem é responsável por aplicar a correção.

O risco também não se limita a páginas públicas. O PHP pode estar presente em interfaces de administração, ferramentas internas e outros produtos que incorporam a linguagem. Por isso, os alertas recomendam inventariar os sistemas e serviços que dependem dela, em vez de verificar somente os sites mais visíveis.

O que são as vulnerabilidades PHP2Shell?

As falhas foram registradas como CVE-2026-109618 e CVE-2026-109619. Ambas estão relacionadas ao gerenciamento de memória e ao tratamento de estados internos durante o processamento de requisições pelo PHP.

Para entender o problema, vale lembrar que um servidor precisa reservar e liberar memória enquanto processa solicitações. Essa memória guarda temporariamente dados necessários para executar operações. Se uma falha deixa referências internas em um estado inconsistente, o programa pode acabar utilizando informações inválidas ou acessando áreas de memória que já foram liberadas.

A primeira vulnerabilidade, CVE-2026-109618, envolve o tratamento de situações em que o PHP fica sem memória disponível durante uma operação. A interrupção pode deixar estruturas internas parcialmente inicializadas, que acabam sendo tratadas como se estivessem em um estado válido.

A segunda, CVE-2026-109619, envolve referências a dados de uma requisição que continuam presentes depois que a memória correspondente foi liberada. Uma operação posterior pode reutilizar esse estado antes que ele seja devidamente reinicializado.

Em determinadas condições, essas falhas podem permitir a execução remota de código, conhecida pela sigla RCE (Remote Code Execution). Na prática, isso significa que um invasor pode executar comandos no servidor vulnerável a partir de uma solicitação enviada pela rede, sem precisar autenticar-se previamente.

O impacto depende das condições de execução e das permissões disponíveis para o processo comprometido. Entre os riscos estão o acesso a dados sensíveis, a alteração de arquivos, a interrupção da aplicação e o uso do servidor como ponto de entrada para atingir outros componentes da infraestrutura.

A equipe do PHP publicou correções em 21 de outubro de 2026. As versões corrigidas anunciadas incluem PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Instalações mais antigas também precisam ser avaliadas, especialmente quando estão em versões que já não recebem atualizações regulares.

Como a IA ajudou a encontrar as falhas?

As vulnerabilidades foram identificadas por pesquisadores que utilizaram ferramentas capazes de analisar código, explorar hipóteses e auxiliar na investigação de comportamentos complexos.

A OpenAI informou que a Calif, empresa californiana de cibersegurança, identificou uma das falhas com o modelo GPT-5.6 Sol, como parte da iniciativa Patch the Planet. A Wiz também encontrou as vulnerabilidades de forma independente, utilizando ferramentas e modelos de IA em seu processo de pesquisa. As descobertas foram encaminhadas à equipe responsável pelo PHP para investigação e correção.

O trabalho envolveu compreender o funcionamento interno do software, formular hipóteses, testar comportamentos e avaliar se uma falha pode ser explorada.

No caso do PHP, a participação da IA ajudou a revelar falhas que estavam presentes havia anos. Isso não significa que a tecnologia tenha substituído os especialistas ou conduzido sozinha todas as etapas. Os pesquisadores precisaram validar os resultados, comunicar as descobertas e trabalhar com os mantenedores para que as correções fossem desenvolvidas e publicadas.

O que aconteceu no Brasil?

A repercussão chegou no Brasil quando órgãos públicos foram orientados a avaliar seus sistemas e aplicar medidas preventivas. O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) emitiu um alerta, e o Gabinete de Segurança Institucional também publicou recomendações técnicas para a atualização do PHP.

Entre os sistemas afetados pelas medidas preventivas está o SEI, plataforma utilizada por órgãos públicos para produzir, organizar e tramitar documentos e processos administrativos em formato digital.

A Agência Nacional de Telecomunicações (Anatel) suspendeu temporariamente o acesso externo ao SEI e a outros serviços. Tribunais regionais federais também confirmaram suspensões preventivas de acesso ao sistema, enquanto equipes técnicas avaliavam a exposição e aplicavam as medidas necessárias.

A medida não significava que havia sido confirmada uma invasão desses sistemas. O objetivo era reduzir o risco enquanto a infraestrutura era verificada e protegida. Em serviços públicos, essa decisão exige equilibrar a continuidade das operações com a necessidade de preservar informações e impedir acessos indevidos.

Em comunicado, o Ministério da Gestão e da Inovação em Serviços Públicos explicou que o alerta foi enviado aos órgãos que utilizam o SEI e que as medidas preventivas poderiam incluir a suspensão temporária do acesso. O ministério também esclareceu que a correção precisa ser aplicada ao PHP, não necessariamente por meio da instalação de uma nova versão do SEI. Há, contudo, uma particularidade: órgãos que utilizam versões antigas do SEI precisam avaliar a atualização da própria plataforma, já que as correções atuais do PHP são destinadas às versões 8.x. 

O governo federal também informou que unidades de tecnologia foram orientadas a desabilitar acessos externos e atualizar os servidores com a correção disponível. Durante a indisponibilidade temporária do SEI, órgãos foram orientados a utilizar alternativas para documentos urgentes que dependiam de tramitação externa. Segundo a nota oficial, os sites do governo que utilizam outra tecnologia e a plataforma GOV.BR não tiveram seu funcionamento afetado.

Como corrigir a falha PHP?

A principal recomendação das autoridades é identificar os ambientes que utilizam PHP e aplicar as atualizações correspondentes. Como a falha está no núcleo da linguagem, não basta verificar se o site utiliza WordPress ou se seus plugins estão atualizados. É necessário identificar a versão do PHP que efetivamente executa as requisições e verificar também produtos que incorporam essa tecnologia.

A orientação do Centro Integrado de Segurança Cibernética do Governo Digital prioriza a atualização para versões corrigidas e a identificação dos sistemas expostos à internet. Para organizações que não conseguem aplicar a correção imediatamente, o alerta recomenda avaliar medidas temporárias de mitigação e restringir o acesso aos serviços vulneráveis.

Um plano inicial de resposta deve incluir:

• Inventariar os ambientes: identificar servidores, aplicações, painéis administrativos e dispositivos que utilizam PHP, incluindo sistemas mantidos por fornecedores externos.

• Priorizar os serviços expostos: começar por sistemas acessíveis pela internet e por aqueles que processam dados sensíveis ou sustentam operações críticas.

• Aplicar as correções: atualizar para uma versão corrigida compatível com o ambiente e seguir as instruções oficiais do PHP e dos fornecedores dos produtos envolvidos.

• Avaliar sistemas sem suporte: instalações antigas podem exigir migração para uma versão mantida ou uma correção fornecida pelo fabricante.

• Monitorar sinais de comprometimento: revisar registros de atividade, falhas inesperadas e processos suspeitos, especialmente quando houver demora entre a divulgação e a correção.

• Planejar a continuidade do serviço: se não for possível proteger o ambiente a tempo, avaliar a restrição de acesso ou a retirada temporária do sistema do ar.

As versões corrigidas do PHP incluem 8.2.35, 8.3.36, 8.4.27 e 8.5.12. A atualização adequada depende da versão utilizada e da forma como o PHP foi instalado ou distribuído. Organizações que utilizam painéis de hospedagem, appliances ou pacotes de terceiros devem acompanhar também os avisos de seus fornecedores.

Uma nova vulnerabilidade, identificada como CVE-2026-115560, foi divulgada pela PHP Foundation em 23 de outubro, poucos dias após o alerta sobre o PHP2Shell. A falha também pode permitir a execução remota de código, mas depende de uma combinação incomum de configurações relacionadas ao gerenciamento de sessões e ao acompanhamento do progresso de uploads. Até o momento, não havia relatos de exploração em ambientes reais. Como a condição necessária para o ataque é menos comum, a correção definitiva ficou prevista para uma atualização regular futura, ainda sem data anunciada. Enquanto isso, a recomendação é desabilitar temporariamente o recurso `session.upload_progress.enabled`. A medida também havia sido recomendada no contexto das falhas anteriores, o que significa que ambientes que já a adotaram podem estar protegidos contra essa nova vulnerabilidade.

Também é importante não confundir a instalação de uma correção com a confirmação de que um ambiente está seguro. Se houver indícios de que a vulnerabilidade foi explorada antes da atualização, a organização precisa avaliar possíveis sinais de comprometimento e, quando necessário, conduzir uma investigação de segurança.

Para usuários comuns, a recomendação é menos técnica. Quem administra um site deve consultar a empresa de hospedagem ou a equipe responsável pela infraestrutura e confirmar se as correções foram aplicadas. Também vale desconfiar de mensagens falsas que usem o incidente como pretexto para solicitar senhas ou induzir o download de arquivos.