Falhas críticas no PHP tiram do ar sites de governos na Europa; NSA manda corrigir
Vulnerabilidades permitem controlar servidores sem senha; NSA e autoridades europeias mandam corrigir ou desligar sistemas.
Resumo
- Duas falhas críticas no PHP deixam invasores controlar servidores sem senha; governos tiraram sites do ar.
- França e Países Baixos desligaram serviços públicos; a NSA mandou corrigir os sistemas ou suspendê-los.
- A correção saiu nesta quarta (21), mas atualizações automáticas podem não aplicá-la em sites pequenos.
Órgãos públicos e empresas de vários países desligaram sites nesta quarta-feira (21) depois que duas falhas críticas de segurança no PHP, linguagem presente em boa parte da internet, vieram a público. As brechas permitem que um invasor assuma o controle de um servidor pela internet sem precisar de senha ou de conta, e os detalhes técnicos vazaram um dia antes de a correção ser liberada.
A NSA, agência de segurança dos Estados Unidos, pediu que as organizações atualizem os sistemas de imediato ou, se não puderem, os desliguem. Em comunicado no X, a agência disse que falhas desse tipo “frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor”. Os desenvolvedores voluntários do projeto PHP publicaram as atualizações no mesmo dia, e a PHP Foundation, que financia o trabalho na linguagem, foi direta: “Se você usa PHP, é imperativo atualizá-lo imediatamente”.
O que saiu do ar
Na França, páginas de administrações locais, como a da Prefeitura de Polícia de Paris, saíram do ar na tarde de quarta, por solicitação da agência nacional de cibersegurança. O Ministério do Interior francês explicou que a medida veio após a “detecção de uma vulnerabilidade crítica de segurança”.
Nos Países Baixos, o governo desligou por precaução o DigiD, o serviço nacional de identidade digital, além dos sites da Câmara dos Representantes e do centro nacional de cibersegurança, segundo a emissora pública NOS. Sites de governo em outros países europeus também foram retirados do ar, enquanto os responsáveis corriam para aplicar a correção. Autoridades de segurança da União Europeia orientaram que as organizações sem condições de atualizar o PHP naquele momento tirassem as páginas afetadas do ar.
Por que a falha preocupa
O PHP atua nos bastidores: quando alguém abre uma página, o servidor usa a linguagem para montar o conteúdo e devolve o resultado ao navegador. O projeto é aberto, não custa nada e depende de voluntários. De acordo com o rastreador de tecnologias W3Techs, está presente em quase 70% dos sites cuja linguagem pode ser identificada, e é a base do WordPress, que sustenta cerca de 40% de todos os sites, de blogs e lojas virtuais a portais de governo e de notícias.
Ambas as vulnerabilidades marcaram 9,2 pontos de 10 no padrão de gravidade CVSS 4.0. Segundo o CERT-EU, equipe de resposta a incidentes das instituições europeias, esse tipo de classificação indica execução remota de código sem autenticação: quem explora a brecha consegue rodar comandos no servidor. A GoDaddy, empresa de hospedagem, advertiu que o resultado pode ser vazamento de informações, páginas alteradas por criminosos ou perda total do controle do sistema. O responsável por tecnologia da Cloudflare afirmou que já há ataques em curso.
Sites pequenos são os mais expostos. Muitos pertencem a donos sem equipe de segurança e funcionam em hospedagem compartilhada, onde o proprietário não controla o servidor e pode nem saber quem atualiza o PHP. A Wordfence, plugin de segurança para WordPress, avisou que as atualizações automáticas de rotina não vão aplicar essa correção, o que exige ação manual.
Como as falhas foram achadas
A primeira vulnerabilidade foi comunicada aos desenvolvedores do PHP em 11 de agosto pela empresa de segurança Calif, em parceria com a OpenAI, que a identificou com o modelo GPT-5.6 Sol. Já a Wiz, de segurança em nuvem e controlada pela Alphabet, descobriu as falhas por conta própria e apontou um segundo defeito em 24 de agosto, igualmente com apoio de IA. Para a empresa, são achados entre os piores já vistos no PHP e talvez em toda a história dos programas de computador; as brechas existem há décadas.
Os problemas foram mantidos em sigilo enquanto a correção era preparada. Na terça-feira (20), porém, os detalhes vazaram na internet, um dia antes da data prevista de lançamento, o que desencadeou a corrida para tirar sites do ar. O governo dos Estados Unidos afirmou acompanhar o caso e coordenar com agências federais e com os principais laboratórios de IA para acelerar a distribuição da correção.
O que muda para quem tem site
O ponto central é que a correção existe, mas precisa ser instalada. Quem administra um site com PHP, inclusive em WordPress, deve conferir com a hospedagem se a versão corrigida já está ativa e, até lá, avaliar a suspensão do serviço, como fizeram governos europeus. Quem apenas navega não precisa fazer nada, mas pode encontrar páginas fora do ar nas próximas horas.
O episódio chega num momento em que a descoberta de falhas de segurança acelera com o uso de IA. Se a tendência atual continuar, o número de vulnerabilidades registradas em 2026 pode dobrar o recorde do ano passado.
Encontrou um erro ou tem uma sugestão de pauta? Fale com a redação.
