Falhas críticas no PHP encontradas com ajuda de IA levam sites a ficarem temporariamente fora do ar

A OpenAI liderou, nos últimos dois meses, uma coalizão de pesquisadores, provedores de segurança e outros atores para tratar vulnerabilidades críticas no PHP, linguagem que sustenta cerca de 70% dos sites no mundo. Segundo a OpenAI, agentes de IA ajudaram a achar as falhas, e a empresa afirma que a IA parece ter chegado a elas antes de qualquer atacante. A própria OpenAI chamou o caso de "um dos problemas de segurança mais impactantes da memória recente".

O FBI alertou que as falhas podem permitir execução remota de código e recomendou tirar sites do ar quando não for possível atualizar de imediato. A PHP Foundation liberou as correções e as instruções de atualização na noite de quarta-feira. O CEO da Cloudflare, Matthew Prince, disse que houve "milhões" de tentativas de exploração nas horas seguintes ao anúncio. A ENISA, agência de cibersegurança da União Europeia, pediu ação imediata das organizações. Governos como o do Reino Unido e o do Japão tiraram serviços do ar temporariamente. O governo japonês disse não ter recebido relatos de danos por ataques ligados à falha.

Em 21 de outubro de 2026, o CEVIU noticiou, em "PHP Alerta para Duas Falhas Críticas de Segurança: Patches de Emergência a Caminho", o aviso da equipe do PHP sobre duas vulnerabilidades de execução remota de código, CVE-2026-109618 e CVE-2026-109619. Em 22 de outubro de 2026, o CEVIU registrou em "PHP lança atualização de segurança que corrige duas vulnerabilidades críticas" a entrega das correções. O alerta virou patch disponível, e agora o foco passou para a aplicação nos ambientes e para as interrupções de serviço causadas pela resposta emergencial.

Para quem opera ambientes com PHP, a leitura é direta: janela entre aviso e exploração é de horas, não de semanas. Vale ter inventário de aplicações PHP, versões em uso e um processo de patch emergencial testado. A recomendação do FBI de desligar o que não dá para atualizar também sugere que o plano de contingência precisa prever indisponibilidade controlada como opção de gestão de risco.