Uma falha crítica de segurança interrompeu, na última quarta-feira (21), centenas de sites de governos, empresas e instituições em diversos países. O problema surgiu após a descoberta de duas vulnerabilidades graves em PHP, uma das linguagens de programação mais usadas no funcionamento de páginas e serviços de internet.

As falhas permitem que cibercriminosos executem código malicioso em determinados servidores sem necessidade de senha ou credenciais de acesso. Diante da gravidade da ameaça, agências de segurança informática recomendaram desconectar temporariamente os sites afetados até que as organizações instalassem as atualizações necessárias.

A Europa foi especialmente afetada, com portais governamentais, instituições de ensino, hospitais e outros serviços digitais saindo do ar. As interrupções ocorreram principalmente como medidas preventivas para evitar possíveis ataques, não por uma queda generalizada da internet.

Vulnerabilidades com gravidade crítica em PHP

O alerta foi disparado quando os responsáveis pelo PHP identificaram duas vulnerabilidades catalogadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2 em uma escala de 10, pontuação considerada crítica segundo padrões internacionais. PHP é uma linguagem de programação amplamente utilizada em aplicações web, o que ampliou o alcance do risco.

O principal perigo dessas brechas é permitir que cibercriminosos executem instruções remotamente em servidores vulneráveis, acessem informações armazenadas, modifiquem arquivos, roubem dados ou comprometam o funcionamento de serviços inteiros. A possibilidade de acesso direto ao sistema de arquivos ou ao banco de dados do servidor ameaçou centenas de milhares de plataformas no mundo.

Respostas de agências internacionais e desconexões preventivas

A gravidade da descoberta levou a Equipe de Resposta a Emergências Informáticas da União Europeia (CERT-EU) a recomendar que organizações e empresas incapazes de aplicar as correções imediatamente isolassem seus sistemas das redes públicas. A recomendação desencadeou uma série de desconexões preventivas em centenas de servidores em todo o mundo.

A Agência Nacional de Segurança dos Estados Unidos (NSA) também se posicionou publicamente e aconselhou desligar sistemas que não pudessem ser atualizados de imediato.

A NSA alertou que PHP é amplamente utilizado em aplicações web e que as vulnerabilidades podem dar acesso direto ao sistema de arquivos ou ao banco de dados do servidor. Por isso, recomendou a desconexão completa dos sistemas até que a falha pudesse ser mitigada.

Chamado urgente de líderes internacionais

A primeira-ministra do Japão, Sanae Takaichi, também solicitou ação urgente em uma rede social. Ela pediu que as organizações verificassem se utilizavam PHP em seus sites e se preparassem para instalar a atualização. Segundo Takaichi, a atualização seria disponibilizada na noite de 21 de outubro, às 23 horas, no horário do Japão.

O tom de urgência das autoridades globais refletiu a preocupação com a extensão potencial dos danos se sistemas permanecessem vulneráveis.

Como os cibercriminosos aproveitam essas vulnerabilidades

As duas falhas em PHP funcionam como portas de entrada que não exigem chave. Normalmente, para acessar um servidor, um atacante precisa de credenciais válidas — nome de usuário e senha. Mas essas vulnerabilidades permitem que o código malicioso seja executado diretamente no servidor sem passar por nenhum desses mecanismos de proteção.

Uma vez dentro, o atacante ganha acesso ao sistema de arquivos e ao banco de dados do servidor. Isso significa que consegue ler, modificar ou excluir qualquer arquivo armazenado, roubar informações sensíveis ou até derrubar o funcionamento de todo o serviço.

É como se alguém conseguisse entrar em uma casa pulando a janela, em vez de usar a porta, e depois fizesse o que quisesse lá dentro sem ninguém poder impedir.

Quando a desconexão não era necessária

Nem todo site que usa PHP estava em perigo no mesmo grau. A vulnerabilidade afetava apenas determinados servidores, de acordo com a configuração e a versão do PHP. Alguns sistemas, apesar de rodarem em PHP, poderiam estar protegidos por outras camadas de segurança ou já estar atualizados e não ser afetados pelas falhas descobertas.

Além disso, as autoridades deixaram claro que desconectar os sistemas da internet era uma medida preventiva, não uma certeza de que o ataque havia ocorrido. Muitos sites foram desligados por precaução enquanto os administradores verificavam se os sistemas usavam versões vulneráveis de PHP.

Se os administradores de um site já haviam instalado uma atualização de segurança antes do aviso, o site podia continuar funcionando sem risco.

Com ventos sustentados que chegaram a 296 km/h nesta semana, o supertufão Champi se firmou como o ciclone tropical mais poderoso registrado em 2026 no Oceano Pacífico.

Chamou a atenção de meteorologistas a velocidade com que o olho do ciclone — área de calmaria relativa no centro da tempestade — mudou de tamanho: passou de uma faixa estreita, entre 8 e 10 quilômetros, para cerca de 56 quilômetros de diâmetro em questão de dias.

Na terça-feira (20), o Centro Conjunto de Alerta de Tufões dos Estados Unidos (JTWC) enquadrou o Champi no nível mais alto da escala, com potência equiparável a um furacão de categoria 5. No mesmo dia, a pressão no centro da tempestade foi medida em 895 hPa, patamar associado a ciclones de força excepcional.

Na quarta-feira (21), o ciclone começou a perder intensidade, mas mantinha ventos violentos enquanto avançava rumo à região entre Taiwan e o sul do Japão.

A reestruturação interna que ampliou o olho

A expansão do olho do Champi ocorreu durante um processo de reorganização comum em ciclones muito intensos. Uma nova faixa de nuvens e tempestades começou a se formar mais distante do centro, envolvendo gradualmente a parede original — a zona de maior violência onde se concentram os ventos mais fortes e as chuvas mais pesadas.

Aos poucos, essa segunda estrutura ganhou força enquanto a anterior enfraquecia, alargando o olho do sistema.

Esse mecanismo explica como o Champi manteve sua intensidade extrema enquanto o olho crescia dramaticamente. Meteorologistas identificaram precisamente esse padrão no comportamento do tufão, permitindo compreender a transformação visual que chamou atenção nas redes sociais e entre especialistas da área. O processo costuma reduzir temporariamente a velocidade dos ventos antes de uma possível nova intensificação.

Possível aproximação de um limite físico

A combinação de ventos extremos com um núcleo tão amplo despertou especulações sobre se o Champi teria alcançado um limite teórico de intensidade para Tufões com essa dimensão. Tempestades normalmente concentram sua máxima força numa área reduzida perto do centro, tornando rara essa configuração de potência extrema combinada com um olho gigantesco.

Nem o Centro Conjunto de Alerta de Tufões nem a Agência Meteorológica do Japão confirmaram oficialmente essa hipótese. Kerry Emanuel, professor do Instituto de Tecnologia de Massachusetts (MIT) e uma das principais referências mundiais sobre os limites de intensidade dos ciclones tropicais, avaliou que essa hipótese é plausível, segundo disse ao g1.

Emanuel contou que, dias antes de o Champi atingir seu pico, projeções feitas para o Pacífico Oeste já indicavam que as condições da região tornariam possível, teoricamente, a formação de ventos entre 296 e 333 km/h.

Esse limite teórico não depende apenas da temperatura da água: resulta de uma combinação de fatores oceânicos e atmosféricos que determinam quanta energia a tempestade consegue converter em vento.

Rajadas ainda mais intensas e impactos confirmados

As medições recentes revelam uma magnitude ainda maior que os números oficiais. As rajadas do Champi atingiram aproximadamente 361 km/h durante seu período de pico, conforme levantamentos posteriores. A Agência Meteorológica do Japão registrou ventos sustentados de quase 300 km/h com rajadas estimadas em 306 km/h.

O governo dos Estados Unidos aprovou uma declaração de emergência para Guam e autorizou o envio de ajuda federal diante do impacto da tempestade no território.

Emanuel ressalva, porém, que as estimativas feitas apenas por satélite carregam incerteza considerável. Sem medições diretas dentro do ciclone — o que exigiria aeronaves especializadas — a velocidade atribuída ao Champi pode variar em até cerca de 32 km/h.

Essa margem de erro, embora significativa, não altera o caráter excepcional da tempestade nem sua posição entre os eventos meteorológicos mais intensos já registrados.

Por que a expansão do olho não enfraquece o tufão?

Quando o olho do Champi cresceu de 8 a 10 quilômetros para 56 quilômetros, muitos esperariam que a tempestade perdesse força. Acontece que o processo funciona diferente: uma nova parede de nuvens e tempestades se forma mais afastada do centro, envolvendo gradualmente a parede original — a zona onde os ventos são mais violentos. Essa nova estrutura ganha força enquanto a antiga enfraquece, mantendo a intensidade geral do sistema mesmo com o olho ampliado.

A reorganização é comum em tufões extremamente poderosos e explica por que o Champi continuou extraordinariamente intenso apesar da mudança dramática de tamanho. Esse rearranjo interno permite que a tempestade mantenha sua capacidade destrutiva durante a transformação, com a energia se redistribuindo em torno de uma estrutura maior.