Uma falha crítica de segurança interrompeu, na última quarta-feira (21), centenas de sites de governos, empresas e instituições em diversos países. O problema surgiu após a descoberta de duas vulnerabilidades graves em PHP, uma das linguagens de programação mais usadas no funcionamento de páginas e serviços de internet.
As falhas permitem que cibercriminosos executem código malicioso em determinados servidores sem necessidade de senha ou credenciais de acesso. Diante da gravidade da ameaça, agências de segurança informática recomendaram desconectar temporariamente os sites afetados até que as organizações instalassem as atualizações necessárias.
A Europa foi especialmente afetada, com portais governamentais, instituições de ensino, hospitais e outros serviços digitais saindo do ar. As interrupções ocorreram principalmente como medidas preventivas para evitar possíveis ataques, não por uma queda generalizada da internet.
Vulnerabilidades com gravidade crítica em PHP
O alerta foi disparado quando os responsáveis pelo PHP identificaram duas vulnerabilidades catalogadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2 em uma escala de 10, pontuação considerada crítica segundo padrões internacionais. PHP é uma linguagem de programação amplamente utilizada em aplicações web, o que ampliou o alcance do risco.
O principal perigo dessas brechas é permitir que cibercriminosos executem instruções remotamente em servidores vulneráveis, acessem informações armazenadas, modifiquem arquivos, roubem dados ou comprometam o funcionamento de serviços inteiros. A possibilidade de acesso direto ao sistema de arquivos ou ao banco de dados do servidor ameaçou centenas de milhares de plataformas no mundo.
Respostas de agências internacionais e desconexões preventivas
A gravidade da descoberta levou a Equipe de Resposta a Emergências Informáticas da União Europeia (CERT-EU) a recomendar que organizações e empresas incapazes de aplicar as correções imediatamente isolassem seus sistemas das redes públicas. A recomendação desencadeou uma série de desconexões preventivas em centenas de servidores em todo o mundo.
A Agência Nacional de Segurança dos Estados Unidos (NSA) também se posicionou publicamente e aconselhou desligar sistemas que não pudessem ser atualizados de imediato.
A NSA alertou que PHP é amplamente utilizado em aplicações web e que as vulnerabilidades podem dar acesso direto ao sistema de arquivos ou ao banco de dados do servidor. Por isso, recomendou a desconexão completa dos sistemas até que a falha pudesse ser mitigada.
Chamado urgente de líderes internacionais
A primeira-ministra do Japão, Sanae Takaichi, também solicitou ação urgente em uma rede social. Ela pediu que as organizações verificassem se utilizavam PHP em seus sites e se preparassem para instalar a atualização. Segundo Takaichi, a atualização seria disponibilizada na noite de 21 de outubro, às 23 horas, no horário do Japão.
O tom de urgência das autoridades globais refletiu a preocupação com a extensão potencial dos danos se sistemas permanecessem vulneráveis.
Como os cibercriminosos aproveitam essas vulnerabilidades
As duas falhas em PHP funcionam como portas de entrada que não exigem chave. Normalmente, para acessar um servidor, um atacante precisa de credenciais válidas — nome de usuário e senha. Mas essas vulnerabilidades permitem que o código malicioso seja executado diretamente no servidor sem passar por nenhum desses mecanismos de proteção.
Uma vez dentro, o atacante ganha acesso ao sistema de arquivos e ao banco de dados do servidor. Isso significa que consegue ler, modificar ou excluir qualquer arquivo armazenado, roubar informações sensíveis ou até derrubar o funcionamento de todo o serviço.
É como se alguém conseguisse entrar em uma casa pulando a janela, em vez de usar a porta, e depois fizesse o que quisesse lá dentro sem ninguém poder impedir.
Quando a desconexão não era necessária
Nem todo site que usa PHP estava em perigo no mesmo grau. A vulnerabilidade afetava apenas determinados servidores, de acordo com a configuração e a versão do PHP. Alguns sistemas, apesar de rodarem em PHP, poderiam estar protegidos por outras camadas de segurança ou já estar atualizados e não ser afetados pelas falhas descobertas.
Além disso, as autoridades deixaram claro que desconectar os sistemas da internet era uma medida preventiva, não uma certeza de que o ataque havia ocorrido. Muitos sites foram desligados por precaução enquanto os administradores verificavam se os sistemas usavam versões vulneráveis de PHP.
Se os administradores de um site já haviam instalado uma atualização de segurança antes do aviso, o site podia continuar funcionando sem risco.
