Duas falhas críticas de segurança no PHP, linguagem de programação utilizada em milhões de aplicações web, colocaram administradores de sistemas e equipes de cibersegurança em alerta nesta semana. As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam pontuação 9,2 no CVSS 4.0 e permitem, em determinadas condições, a execução remota de código sem necessidade de autenticação.
A gravidade das descobertas levou órgãos governamentais e empresas a suspenderem temporariamente serviços digitais enquanto avaliavam a exposição de seus ambientes. O episódio ganhou repercussão pela participação de modelos de inteligência artificial na identificação das falhas e pelo alcance potencial das vulnerabilidades.
Em 21 de outubro, a equipe responsável pelo PHP disponibilizou atualizações emergenciais para corrigir os problemas. No mesmo dia, a Agência da União Europeia para a Cibersegurança (ENISA), o CERT-EU e outras autoridades europeias emitiram um comunicado conjunto recomendando a aplicação imediata das correções.
Vulnerabilidades atingem o núcleo do PHP
Diferentemente de falhas encontradas em plugins, bibliotecas externas ou aplicações específicas, as duas vulnerabilidades foram identificadas no próprio mecanismo de execução do PHP.
Isso amplia consideravelmente a superfície de exposição, já que a linguagem está presente em sistemas de gerenciamento de conteúdo, portais institucionais, plataformas de comércio eletrônico e aplicações corporativas.
A primeira vulnerabilidade, CVE-2026-109618, está relacionada ao tratamento inadequado de erros de falta de memória, conhecidos como Out-of-Memory (OOM).
Em determinadas situações, o PHP pode interromper o processamento de uma requisição enquanto estruturas internas ainda não foram completamente inicializadas. Durante a limpeza dos recursos utilizados, o mecanismo pode interpretar dados inválidos como legítimos, criando condições para corrupção de memória e execução de código malicioso.
Já a CVE-2026-109619 envolve a permanência de referências internas a regiões de memória que já foram liberadas.
Nesse cenário, informações associadas a uma requisição podem continuar acessíveis após o encerramento de seu processamento. Quando uma nova requisição é executada pelo mesmo processo, essas referências podem ser utilizadas indevidamente, comprometendo a integridade da memória e permitindo a exploração da falha.
Ambos os problemas podem ser explorados remotamente, sem que o invasor possua credenciais válidas no sistema.
O risco é especialmente elevado em servidores que utilizam Apache com mod_php. Segundo o comunicado oficial do PHP, pesquisadores demonstraram a possibilidade de exploração por meio de uma requisição não autenticada, antes mesmo da execução do código da aplicação.
Inteligência artificial participou da descoberta
A identificação das vulnerabilidades contou com a participação da Wiz Research, equipe de pesquisa em segurança vinculada ao Google Cloud, que utilizou diferentes modelos de inteligência artificial durante a investigação.
Entre eles, o Google destacou o Gemini 4 Argon, empregado na identificação das falhas, no desenvolvimento de métodos para demonstrar sua exploração, na criação de mecanismos de detecção e na validação das correções.
A utilização desses modelos permitiu aprofundar a análise de comportamentos complexos relacionados ao gerenciamento de memória do interpretador PHP.
Esse tipo de investigação exige compreender como diferentes partes do software interagem durante situações excepcionais, como falhas de alocação de memória e interrupções inesperadas no processamento de requisições.
A participação da inteligência artificial não eliminou a necessidade de análise técnica especializada. A pesquisa envolveu a validação dos resultados e um processo coordenado de divulgação com os responsáveis pela manutenção da linguagem.
O caso demonstra uma aplicação concreta de modelos avançados de IA na pesquisa de segurança: a identificação de vulnerabilidades em componentes amplamente utilizados, cuja exploração depende de condições internas difíceis de reconhecer por métodos convencionais.
Alerta provoca suspensão de serviços digitais
A preocupação com as vulnerabilidades começou antes da disponibilização das atualizações.
Em 20 de outubro, a equipe de segurança do PHP anunciou que publicaria correções emergenciais para duas falhas críticas. A comunicação antecipada tinha como objetivo permitir que administradores e fornecedores se preparassem para atualizar seus ambientes.
Entretanto, a circulação prematura de informações sobre as vulnerabilidades aumentou a preocupação com possíveis tentativas de exploração antes da aplicação dos patches.
Na Europa, órgãos públicos adotaram medidas preventivas, incluindo a suspensão temporária de serviços e o isolamento de sistemas expostos à internet.
No Brasil, a situação também provocou medidas de precaução. A Agência Nacional de Telecomunicações (Anatel) retirou temporariamente do ar seu Sistema Eletrônico de Informações (SEI), enquanto tribunais federais registraram instabilidades em serviços digitais.
Essas interrupções não significam necessariamente que os sistemas tenham sido comprometidos. Em situações de risco crítico, a suspensão preventiva pode ser utilizada para reduzir a exposição enquanto as equipes responsáveis verificam as versões instaladas e implementam as correções.
A preocupação foi reforçada por alertas internacionais sobre possíveis ataques em andamento. Em 22 de outubro, o Centro Nacional de Segurança Cibernética da Nova Zelândia informou ter conhecimento de relatos de exploração ativa das vulnerabilidades.
Quais versões do PHP estão vulneráveis?
As falhas afetam versões antigas e recentes do PHP utilizadas no processamento de requisições web.
Segundo o comunicado oficial, as correções estão disponíveis nas seguintes versões:
-
PHP 8.5.12
-
PHP 8.4.27
-
PHP 8.3.36
-
PHP 8.2.35
Ambas as vulnerabilidades também afetam versões anteriores que já encerraram seu ciclo de suporte, incluindo o PHP 8.1 e versões mais antigas.
Nesses casos, a situação exige atenção adicional. Sistemas que utilizam versões sem manutenção regular podem depender de correções específicas fornecidas por distribuições Linux ou outros fornecedores, quando disponíveis.
O problema não se limita a servidores configurados diretamente pelos administradores. Aplicações hospedadas em contêineres, serviços gerenciados e equipamentos que incorporam PHP também precisam ser avaliados.
Plataformas como WordPress, Drupal e Joomla podem estar expostas quando executadas sobre versões vulneráveis do interpretador, independentemente de seus componentes internos estarem atualizados.
Atualização é a principal medida de proteção
O comunicado oficial do PHP recomenda a atualização imediata dos ambientes afetados.
A orientação também foi reforçada no Brasil pelo Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), que publicou a Recomendação Técnica 19/2026 em 21 de outubro.
O órgão recomenda que as organizações identifiquem as aplicações que utilizam PHP, verifiquem as versões instaladas e priorizem a atualização dos sistemas acessíveis pela internet.
Quando a aplicação imediata das correções não for possível, o isolamento temporário dos serviços expostos pode reduzir o risco até que os ambientes sejam atualizados.
Também é importante verificar aplicações executadas em contêineres e soluções fornecidas por terceiros, já que a atualização do sistema operacional não garante, por si só, que todas as instâncias do PHP tenham recebido as correções.
Além da atualização, a análise dos registros de acesso e dos eventos de segurança pode ajudar a identificar comportamentos suspeitos relacionados a possíveis tentativas de exploração.
Como as vulnerabilidades afetam o próprio interpretador, mecanismos de proteção implementados exclusivamente no código da aplicação não são suficientes para eliminar o problema.
A descoberta das duas falhas evidencia a importância de manter visibilidade sobre os componentes utilizados na infraestrutura. Mesmo aplicações atualizadas e desenvolvidas conforme boas práticas de segurança podem permanecer expostas quando dependem de versões vulneráveis de tecnologias fundamentais para seu funcionamento.
