Imagine descobrir que o servidor responsável pelo funcionamento de um site pode ser invadido sem que o criminoso precise conhecer uma única senha. Foi esse tipo de ameaça que colocou instituições públicas e empresas em alerta no dia 21 de outubro de 2026. Algumas organizações decidiram retirar temporariamente suas páginas do ar enquanto buscavam uma solução. O mais surpreendente é que a inteligência artificial teve um papel importante na descoberta dos problemas.
Duas falhas críticas colocaram em risco uma tecnologia usada por milhões de sites
O problema foi identificado no PHP, linguagem de programação utilizada nos servidores para executar diversas funções essenciais da internet.
É ela que permite, por exemplo, processar formulários, consultar bancos de dados, gerenciar contas e gerar páginas dinâmicas.
Plataformas populares como WordPress, Drupal, Joomla e MediaWiki dependem dessa tecnologia.
Por isso, uma vulnerabilidade no próprio PHP pode atingir aplicações completamente diferentes, mesmo quando seus desenvolvedores não cometeram erros específicos.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, ficaram conhecidas como PHP2Shell.
Ambas receberam uma classificação de gravidade de 9,2 em uma escala de dez pontos.
Sob determinadas condições, elas podem permitir a execução remota de código sem autenticação.
Isso significa que um invasor poderia executar comandos em um servidor vulnerável sem precisar fazer login.
Em um ataque bem-sucedido, seria possível acessar informações confidenciais, modificar arquivos ou comprometer o funcionamento de um site.
Entretanto, existe uma distinção importante: nem todo site desenvolvido com PHP estava vulnerável.
O risco depende da versão instalada, das configurações do servidor e das condições necessárias para explorar as falhas.
A inteligência artificial ajudou a encontrar problemas que passaram despercebidos por anos
Uma das características mais marcantes do episódio foi a participação de ferramentas de inteligência artificial na investigação.
A empresa de cibersegurança Calif identificou uma vulnerabilidade crítica com auxílio do modelo GPT-5.6 Sol.
Paralelamente, a Wiz encontrou e comunicou as duas falhas por meio de pesquisas independentes, também apoiadas por ferramentas de IA.
Segundo informações divulgadas pela OpenAI, as descobertas foram inicialmente comunicadas de maneira privada aos responsáveis pelo PHP.
Esse procedimento permite que os desenvolvedores preparem correções antes que detalhes técnicos sejam amplamente conhecidos.
Mas a situação se tornou mais delicada quando informações sobre os problemas começaram a circular antes da divulgação programada dos patches.
Isso aumentou a preocupação de que criminosos pudessem desenvolver ataques enquanto parte dos servidores ainda permanecia desprotegida.
A Agência da União Europeia para a Cibersegurança (ENISA) reconheceu a gravidade das vulnerabilidades e recomendou medidas imediatas.
Autoridades dos Estados Unidos, da Alemanha e de outros países também orientaram organizações a atualizar seus sistemas ou interromper temporariamente serviços vulneráveis.
Hospitais e instituições públicas preferiram desligar seus sites
Na Alemanha, instituições como o hospital universitário Charité, em Berlim, suspenderam temporariamente suas páginas como medida preventiva.
O episódio foi relatado pela imprensa local e repercutido pela Deutsche Welle.
Isso não significa que os sistemas médicos do hospital tenham sido invadidos ou que informações de pacientes tenham sido comprometidas.
A decisão de retirar páginas do ar pode ser uma estratégia para reduzir a exposição enquanto as equipes técnicas verificam a segurança dos servidores.
Universidades e órgãos governamentais também adotaram medidas de precaução.
O incidente não provocou uma interrupção generalizada da internet, mas demonstrou como uma vulnerabilidade em uma tecnologia amplamente compartilhada pode afetar organizações de setores diferentes.
PHP lançou atualizações emergenciais, mas o desafio ainda não terminou
Em 21 de outubro, os responsáveis pelo PHP disponibilizaram quatro versões corrigidas:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
A PHP Foundation confirmou as atualizações e informou que um dos problemas havia sido identificado parcialmente em 2024, embora naquela época não existisse um método conhecido para explorá-lo.
Para administradores de sites, a prioridade é verificar a versão do PHP utilizada pelo servidor e aplicar a atualização de segurança correspondente.
No caso do WordPress, existe um detalhe fundamental: atualizar apenas o painel ou os plugins não resolve vulnerabilidades presentes no próprio PHP.
A correção precisa ser instalada no ambiente do servidor, geralmente administrado pela empresa de hospedagem.
O episódio revela uma nova corrida entre hackers e especialistas em segurança
A inteligência artificial está transformando a maneira como as vulnerabilidades são descobertas.
Ferramentas capazes de analisar grandes quantidades de código podem ajudar pesquisadores a encontrar problemas que permaneceram ocultos durante anos.
Entretanto, essa mesma capacidade também pode facilitar o trabalho de pessoas interessadas em explorar falhas.
O alerta global aconteceu porque duas vulnerabilidades críticas no PHP poderiam permitir o comprometimento remoto de servidores, levando algumas instituições a desligar temporariamente seus sites até aplicar as correções.
A descoberta não significa que milhões de páginas tenham sido invadidas, mas evidencia o tamanho do risco associado a tecnologias utilizadas em larga escala.
A principal lição é que encontrar vulnerabilidades mais rapidamente não basta.
Em uma internet cada vez mais dependente de sistemas compartilhados, a capacidade de distribuir e instalar atualizações de segurança com rapidez pode ser tão importante quanto descobrir os problemas antes dos criminosos.
