Falha crítica no PHP expõe servidores corporativos ao risco de invasão sem senha

Compartilhe a gente! — @portal.inside

Uma vulnerabilidade crítica de cibersegurança descoberta no núcleo do PHP, linguagem de programação que sustenta a maioria dos sites, portais e sistemas web do mundo, colocou equipes de tecnologia e órgãos públicos em alerta máximo. Identificadas como CVE-2026-109618 e CVE-2026-109619 e batizadas de PHP2Shell, as falhas receberam nota de gravidade 9,2 (considerada extrema no índice CVSS v4.0) e permitem que invasores assumam o controle de servidores sem necessidade de login ou senha.

Você já faz parte do nosso canal no WhatsApp? Por lá, compartilhamos conteúdos exclusivos, avisos importantes e tudo o que você precisa saber de um jeito rápido e prático.

Vem com a gente: Clique aqui e participe!

O impacto já é sentido na prática: sites de prefeituras e portais de serviços públicos registraram quedas e instabilidades após as primeiras tentativas de exploração da brecha por cibercriminosos na internet.

Entenda o Risco e a Urgência das Correções

O problema não está em plugins ou aplicações específicas (como WordPress ou sistemas locais), mas na própria estrutura de execução da linguagem:

Invasão sem autenticação: A brecha ocorre devido ao processamento incorreto de memória durante o envio de arquivos e requisições web. Um hacker pode enviar pacotes de dados maliciosos para o servidor e executar comandos internos diretamente no sistema operacional.
Sistemas sob maior risco: Ambientes que utilizam o servidor web Apache integrado ao módulo mod_php são apontados pelos especialistas como os de maior vulnerabilidade, permitindo a invasão antes mesmo de o código da aplicação carregar.
O desafio do “Shadow IT”: A maior dificuldade para as empresas e órgãos públicos não é apenas aplicar a correção, mas mapear onde o PHP está instalado. Muitas vezes, a linguagem vem embutida dentro de softwares de terceiros, agentes de monitoramento ou ferramentas do Windows sem constar nos inventários oficiais da TI.

Recomendações para Gestores de TI e Usuários

Diante do risco elevado, especialistas apontam os passos imediatos para conter a ameaça:

Atualização imediata: As equipes de TI devem atualizar com urgência as instâncias do PHP para as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Reinício de serviços: Após o download e instalação dos pacotes corrigidos, é indispensável reiniciar os serviços web (apache2, php-fpm ou similares) para que a memória limpa seja alocada.
Atenção dos usuários: Para o cidadão comum e usuários de portais afetados, a orientação preventiva é alterar senhas cadastradas em serviços públicos e comerciais, especialmente se a mesma chave for reutilizada em diferentes sites.