Falhas críticas no PHP, achadas com ajuda de IA, levam governos a tirar sites do ar

Duas falhas críticas no PHP, a linguagem que roda boa parte dos sites do mundo, foram corrigidas em 21 de outubro. Elas permitem que um atacante execute código em um servidor sem precisar de login. Governos da Europa e do Canadá tiraram alguns sites do ar por precaução, segundo a Engadget. Se você tem um site em PHP, incluindo WordPress, o passo urgente é atualizar.

O que são as falhas

A PHP Foundation e a agência de segurança americana CISA identificam duas vulnerabilidades: CVE-2026-109618 e CVE-2026-109619. A CISA as chama de "php2shell". Segundo a agência, elas permitem execução remota de código sem autenticação e afetam todas as instalações de PHP que atendem pedidos web.

Uma delas nasce de um erro de memória. Um pedido que atinge o limite de memória no momento errado deixa dados pela metade, que o PHP depois trata como válidos. A outra deixa um estado interno apontando para memória de um pedido anterior. A PHP Foundation diz que demonstrou a execução de código com configurações padrão no Apache com mod_php.

A pontuação de gravidade é 9,2, segundo a fundação. Ela informa que não identificou ataques funcionais na hora da divulgação. A CISA também diz que não observou exploração.

Quais versões corrigem

As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançadas em 21 de outubro. A CISA recomenda atualizar para uma delas. Quem usa PHP 8.1 ou anterior, que não têm mais suporte, deve tirar os sistemas do ar até conseguir atualizar, segundo a agência.

A Wiz afirma que as falhas existem em versões que voltam ao PHP 5.4. A TechCrunch fala em todas as versões desde o PHP 5, de 2004. Os textos não coincidem no detalhe, mas apontam o mesmo risco amplo.

Como a IA entrou

A OpenAI diz que a empresa de segurança Calif achou uma das falhas com o GPT-5.6 Sol, dentro da iniciativa Patch the Planet. A Wiz também descobriu e reportou as duas, de forma independente. A Wiz conta que usou seu agente Wiz Atlas, o Gemini 4 Argon e o GPT-5.6 Sol. Segundo o texto da empresa, o Argon ajudou a achar a falha, a criar o exploit e a validar o patch. É o Gemini que a Google lançou há poucos dias.

A PHP Foundation conta uma linha do tempo própria. A Calif relatou uma falha em 11 de agosto, e a OpenAI relatou a mesma causa no mesmo dia. A Wiz reportou em 24 de agosto. Há diferenças entre os relatos sobre quem achou o quê primeiro, e as fontes não as resolvem.

A PHP Foundation diz ainda que o código foi analisado antes com o Claude Mythos, da Anthropic, em um programa chamado Alpha-Omega.

O que governos fizeram

A Engadget diz que governos da União Europeia e do Canadá tiraram sites do ar de forma preventiva. A agência Reuters, citada pela Engadget, aponta Países Baixos, Dinamarca, França e Finlândia. A CISA emitiu um alerta, e a Casa Branca disse à Reuters que soube do problema na sexta-feira anterior.

A OpenAI relata que trabalhou com agências de cibersegurança dos EUA para que o aviso chegasse a organizações críticas.

O que fazer

A orientação das fontes é a mesma:

• atualize o PHP no servidor para uma das versões corrigidas;
• se não puder atualizar já, a CISA e a NSA, via TechCrunch, aconselham tirar o sistema do ar até corrigir;
• um firewall de aplicação web pode dar alguma proteção, mas a Wiz diz que a atualização é a única solução completa;
• verifique sinais de ataque, como processos PHP abrindo terminais de comando.

O WordPress disse que a falha não é do WordPress, e sim do servidor. Quem usa hospedagem compartilhada depende da empresa de hospedagem. Pergunte a ela qual versão do PHP seu site usa e quando a correção chega.

O que não está claro

As fontes não dizem quantos sites foram atacados, e todas apontam ausência de exploração confirmada. Ainda assim, a Wiz alerta que atacantes podem explorar as falhas à distância, "em alguns casos com facilidade". Agora que a correção é pública, o tempo para atualizar é curto.