Duas vulnerabilidades no núcleo do PHP, a linguagem que roda por trás de WordPress, Drupal, Joomla e Magento, fizeram órgãos públicos da Europa desligarem servidores na quarta-feira (21). Registradas como CVE-2026-109618 e CVE-2026-109619, as duas receberam nota 9,2 no CVSS 4.0 e permitem que um atacante execute código no servidor sem login nem senha.
O alarme veio do vazamento. Os detalhes técnicos apareceram na internet na terça-feira (20), antes da data combinada para a divulgação coordenada, e varreduras automáticas começaram em seguida. O CERT-EU, equipe de resposta a incidentes da União Europeia, mandou corrigir na hora ou, se não desse, tirar da internet as máquinas expostas. Na Holanda, saíram do ar portais da previdência, de ministérios, da própria agência de cibersegurança e até de partidos políticos. Na Finlândia, o provedor estatal de TI isolou redes públicas.
Onde está o problema
A primeira falha envolve o tratamento de erros por falta de memória: o PHP interrompe a requisição no meio, deixa dados internos pela metade, e a rotina de limpeza que roda depois usa esse lixo para decidir o que executar. A segunda trata de estados globais que continuam apontando para memória já liberada, que uma requisição seguinte no mesmo servidor pode ler antes de ser reinicializada. As duas permitem tomar o controle da máquina e ler o que está na memória, como senhas, tokens e chaves de API.
Como o defeito fica no interpretador, e não em um plugin, qualquer aplicação em versão vulnerável fica exposta. A Wiz Research afirma que o risco vem desde o PHP 5 e que conseguiu explorar imagens de contêiner de WordPress, Drupal e Joomla. O comunicado oficial lista como afetadas todas as formas de servir páginas: PHP-FPM, php-cgi, FrankenPHP, LiteSpeed e Apache com mod_php, este apontado como o caso mais grave.
A causa raiz foi reportada em 11 de agosto pela empresa de segurança Calif e, no mesmo dia, de forma independente, pela OpenAI. A Wiz entregou seus achados ao time do PHP em 24 de agosto. A Quarkslab também participou da pesquisa.
O que fazer
As correções já estão publicadas para os quatro ramos mantidos: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Patchstack e Wordfence alertam que clicar em “atualizar” no painel do WordPress não resolve nada, porque quem troca a versão do PHP é o administrador do servidor ou a hospedagem. Gina Peter Banyard, desenvolvedora do núcleo da linguagem, diz que não existe contorno totalmente seguro além do patch.
A Cloudflare ativou regras de firewall contra os vetores conhecidos para todos os clientes, inclusive no plano gratuito. O CTO Dane Knecht relatou ataques já nas primeiras horas e chamou a medida de paliativo. Se você tem site em hospedagem compartilhada, abra um chamado e pergunte qual versão do PHP está rodando; se for VPS própria, a atualização é sua.
No Brasil, ainda não há registro de sites grandes derrubados por causa das falhas, e o CERT.br não publicou alerta sobre o caso até agora. O PHP está em quase 70% dos sites cuja linguagem de servidor é conhecida, segundo o W3Techs, e 65,2% deles usam a versão 8, o que inclui boa parte da web brasileira.
