Duas vulnerabilidades críticas no PHP, uma linguagem usada por cerca de 70% dos sites cuja tecnologia de servidor é conhecida, levaram autoridades e outras organizações europeias a desligar temporariamente alguns serviços por precaução. As falhas podem permitir a execução remota de código sem autenticação. As equipas de segurança recomendam instalar imediatamente as atualizações disponíveis.

(Redação: Mundo e Europa / Tecnologia e cibersegurança)

Em 21 de outubro de 2026, duas falhas críticas no PHP, tecnologia que sustenta grande parte da Web, desencadearam uma resposta urgente de cibersegurança. As vulnerabilidades tinham passado despercebidas durante anos; a investigação assistida por IA ajudou a transformar uma fraqueza teórica numa demonstração de ataque funcional.

O PHP funciona nos bastidores de muitos sites e aplicações, incluindo os que usam WordPress, Drupal e Joomla. Segundo a W3Techs, em outubro de 2026 cerca de 69,7% dos sites cuja linguagem de servidor era conhecida utilizavam PHP. A sua ampla utilização significa que uma falha pode afetar muitos serviços diferentes.

Sites desligados por precaução

Autoridades e organizações de vários países europeus desligaram temporariamente alguns serviços acessíveis ao público enquanto preparavam ou instalavam correções de segurança. Nos Países Baixos, a medida abrangeu portais governamentais e sites de instituições públicas. França, Alemanha e Finlândia também comunicaram interrupções preventivas. O facto de um site ficar offline não significa, por si só, que tenha sido pirateado.

Como a IA ajudou a identificar as falhas

As vulnerabilidades estão identificadas como CVE-2026-109618 e CVE-2026-109619 e têm uma classificação de gravidade de 9,2 em 10. Afetam a gestão da memória e o estado interno do PHP e podem permitir que um atacante sem autenticação execute código num servidor vulnerável. Durante uma auditoria ao código-fonte do PHP financiada pela OpenAI, a empresa de cibersegurança Calif utilizou o modelo GPT-5.6 Sol da OpenAI para desenvolver um ataque remoto funcional baseado numa das falhas. A IA pode ajudar investigadores a analisar código complexo, mas capacidades semelhantes também podem ser usadas por atacantes.

Uma corrida para instalar as correções

A equipa do PHP publicou atualizações de segurança em 21 de outubro de 2026. Entre as versões corrigidas estão PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Consulte o aviso oficial do PHP e o fornecedor do sistema operativo ou alojamento para identificar a atualização adequada. As versões antigas podem já não receber correções do projeto PHP, embora alguns fornecedores disponibilizem correções retroportadas.

Dados da Censys citados pela imprensa indicavam que cerca de 1,5 milhões dos 2,6 milhões de hosts observados utilizavam versões do PHP para as quais não havia correção disponível no momento da medição. A Cloudflare comunicou tráfego de ataques dirigido aos seus clientes, enquanto as autoridades alertaram que a divulgação de detalhes técnicos poderia aumentar as tentativas de exploração.

O que as organizações devem fazer

As organizações devem identificar todas as aplicações e serviços que utilizam PHP, instalar a atualização adequada e confirmar que a versão corrigida está efetivamente em execução. Se não for possível corrigir rapidamente um sistema exposto, as autoridades de cibersegurança recomendam ponderar o seu isolamento temporário da Internet pública. Quem utiliza alojamento gerido deve pedir ao fornecedor confirmação de que a correção foi aplicada.

Conclusão

O incidente do PHP demonstra que a infraestrutura amplamente utilizada na Internet precisa de manutenção contínua. A análise assistida por IA ajudou a revelar falhas que permaneceram ocultas durante anos. Com as correções já publicadas, a prioridade é verificar a versão do PHP, instalar a atualização correta e proteger os serviços expostos à Internet.