---
title: "Falhas críticas no PHP ainda deixam maioria dos hosts exposta"
author: "André Iglesias"
date: "2026-10-28 06:12:05.018-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/28/falhas-criticas-no-php-ainda-deixam-maioria-dos-hosts-exposta/md"
---

## Resumo
- 412 mil hosts PHP públicos haviam sido corrigidos até 26 de outubro, cerca de 19% do total visível.
- As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 receberam nota 9,2 de severidade.
- As falhas permitiam execução remota de código e afetavam versões do PHP desde a versão 5.
- Pesquisadores da Wiz e da Calif identificaram o problema com auxílio de inteligência artificial.
- Patches foram liberados para as versões mantidas do PHP, além de backports para versões obsoletas.
- Sites e serviços foram retirados do ar preventivamente, enquanto milhões de tentativas de exploração eram monitoradas.
- Até 23 de outubro, não havia registro confirmado de comprometimento em larga escala de sistemas regulados ou governamentais.

---

Até **26 de outubro de 2026**, apenas 412 mil hosts públicos que executam PHP haviam sido corrigidos, cerca de 19% do total visível. A maioria continuava exposta às duas vulnerabilidades críticas divulgadas em 21 de outubro, um problema que merece atenção porque o PHP sustenta aproximadamente 70% dos sites do mundo, segundo a [cobertura da BBC](https://www.bbc.co.uk/news/articles/c3qjnwye0ep5o). Eu separaria o fato do alarmismo: houve uma corrida global por atualização, mas ainda não havia confirmação de invasão em larga escala até 23 de outubro.


## O risco estava no código que sustenta a web


As falhas receberam nota **9,2 de 10** e foram registradas como CVE-2026-109618 e CVE-2026-109619. Na prática, elas permitiam execução remota de código, isto é, a possibilidade de um invasor fazer o servidor executar comandos sem depender de uma ação direta do usuário. O problema foi identificado por pesquisadores da **Wiz** e da **Calif** com auxílio de modelos de inteligência artificial, depois de bugs que estavam presentes há décadas. A tecnologia acelerou uma descoberta que exigia uma cadeia de análise difícil para pesquisadores humanos.


A divulgação pública ocorreu em **21 de outubro** e transformou uma falha de software em uma emergência operacional para organizações que dependem de sites e sistemas antigos. Wikimedia e o governo da Finlândia estiveram entre as instituições que tiraram serviços do ar preventivamente, enquanto a NSA orientou organizações a fazer o mesmo quando não conseguissem aplicar as correções. A medida é incômoda, mas traduz o risco em termos concretos: manter um serviço indisponível por algum tempo pode ser preferível a deixá-lo acessível sem o patch.


## A correção avançou, mas ficou longe de alcançar todos


Os desenvolvedores disponibilizaram correções para as versões **8.5.12, 8.4.27, 8.3.36 e 8.2.35**, além de backports para versões obsoletas. O termo indica que a correção também foi adaptada para edições antigas que já não recebem o mesmo ciclo de manutenção. O órgão alemão BSI classificou a ameaça como nível 3, na faixa laranja, e afirmou que todas as versões do PHP desde a versão 5 eram vulneráveis. A existência do patch resolveu a parte técnica para quem consegue atualizar, mas não elimina o problema de inventário e manutenção das organizações.


Essa diferença apareceu na velocidade da resposta. Uma [análise da Computer Weekly](https://www.computerweekly.com/news/366652698/EU-makes-progress-towards-PHP-patching-UK-lags-behind) apontou que agências da União Europeia coordenaram esforços rápidos, enquanto o Reino Unido enfrentou mais dificuldades para atualizar infraestruturas críticas. Ao mesmo tempo, a Cloudflare registrou tentativas de exploração na casa dos milhões em menos de 48 horas, embora não houvesse registro confirmado de comprometimento em larga escala de sistemas regulados ou governamentais até 23 de outubro. O próximo número a acompanhar é justamente a distância entre os 19% já corrigidos e o restante dos hosts ainda visíveis na internet.