A internet parece funcionar sobre uma estrutura praticamente indestrutível, sustentada por gigantes da tecnologia, milhares de servidores e investimentos bilionários. Entretanto, algumas das ferramentas mais importantes da rede dependem de organizações muito menores do que imaginamos. Uma recente emergência de segurança revelou justamente essa contradição: uma tecnologia utilizada por milhões de sites enfrentou vulnerabilidades críticas enquanto sua fundação responsável pelo apoio ao desenvolvimento operava com uma equipe surpreendentemente pequena.
Uma tecnologia presente em grande parte da internet depende de uma estrutura reduzida
O protagonista dessa história é o PHP, linguagem de programação utilizada há mais de três décadas para desenvolver sites, lojas virtuais e aplicações online.
Segundo dados da W3Techs, aproximadamente 69% dos sites cujo idioma de programação do servidor pode ser identificado utilizam PHP.
Isso não significa que 69% de absolutamente todas as páginas existentes dependam da tecnologia, mas demonstra sua enorme presença na infraestrutura digital.
Plataformas populares, sistemas de gerenciamento de conteúdo e inúmeros serviços online utilizam a linguagem.
Diante dessa importância, seria natural imaginar uma organização com centenas de profissionais dedicados exclusivamente à sua manutenção.
Entretanto, a realidade é diferente.
Em entrevista publicada pela Reuters em 23 de outubro, Elizabeth Barron, diretora executiva da Fundação PHP, revelou que é a única funcionária contratada em tempo integral pela entidade.
A organização também conta com 14 prestadores de serviços, principalmente em regime parcial, além de uma diretoria voluntária.
Isso não significa que apenas essas pessoas desenvolvam PHP.
A linguagem possui uma comunidade internacional de programadores independentes. A fundação atua principalmente no financiamento e apoio ao desenvolvimento.
Ainda assim, a diferença entre sua importância global e os recursos institucionais disponíveis chamou atenção.
Duas falhas críticas provocaram uma corrida para proteger servidores
A preocupação aumentou em 21 de outubro de 2026, quando foram publicadas correções para duas vulnerabilidades graves.
Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas ficaram conhecidas conjuntamente como PHP2Shell.
Em determinadas condições, elas poderiam permitir a execução remota de código em servidores vulneráveis.
A gravidade recebeu pontuação de 9,2 em uma escala de dez no sistema CVSS 4.0.
Isso levou especialistas e fornecedores de infraestrutura a recomendar atualizações urgentes.
Segundo um alerta técnico da Sophos, foram disponibilizadas correções para as versões PHP 8.2, 8.3, 8.4 e 8.5.
Entretanto, sistemas antigos que já não recebem manutenção apresentam dificuldades adicionais.
A Cloudflare também implementou proteções destinadas a bloquear tentativas de exploração e publicou uma análise técnica em 21 de outubro.
Posteriormente, a empresa relatou outra vulnerabilidade relacionada que exigia correção adicional.
O problema é que disponibilizar atualizações não significa proteger automaticamente todos os servidores.
Cada organização precisa aplicar os patches, verificar a compatibilidade das aplicações e garantir que os serviços continuem funcionando corretamente.
A inteligência artificial está encontrando erros, mas também aumentando o trabalho
A crise revelou outro desafio enfrentado pelos responsáveis pelo desenvolvimento do PHP.
Ferramentas de inteligência artificial estão ajudando programadores a identificar problemas antigos e sugerir melhorias no código.
Entretanto, essa facilidade também está aumentando a quantidade de alterações que precisam ser analisadas.
Segundo Elizabeth Barron, o projeto recebe atualmente quase o dobro de propostas de modificação em comparação com o ano anterior.
O número de colaboradores, porém, não cresceu na mesma proporção.
Cada contribuição precisa passar por verificações de segurança, compatibilidade e possíveis efeitos sobre outros componentes.
A Fundação PHP também reconheceu que uma das vulnerabilidades recentes já havia levantado preocupações durante uma auditoria realizada em 2024.
A dificuldade de desenvolver uma correção sem comprometer outras partes do ecossistema contribuiu para o atraso.
Após o episódio, a entidade anunciou mudanças em seus procedimentos de segurança.
O verdadeiro problema vai além das vulnerabilidades do PHP
Os números divulgados pela Fundação PHP ajudam a dimensionar a quantidade de trabalho envolvida.
Em 2025, colaboradores financiados pela organização participaram de 2.929 contribuições de código e 1.685 revisões.
É uma atividade significativa para uma estrutura institucional tão pequena.
O episódio também evidencia uma fragilidade recorrente no desenvolvimento de software de código aberto.
Muitas tecnologias fundamentais para empresas, governos e serviços digitais dependem de comunidades que nem sempre recebem financiamento proporcional à sua importância.
Isso não significa que o PHP seja mantido por apenas uma pessoa ou que toda a internet esteja vulnerável.
O alerta está na dificuldade de garantir recursos suficientes para revisar alterações, corrigir falhas e acompanhar ameaças cada vez mais sofisticadas.
Para empresas brasileiras que utilizam PHP em sites e plataformas comerciais, o caso reforça a importância de manter versões suportadas, aplicar atualizações de segurança e acompanhar os comunicados oficiais.
A principal lição do PHP2Shell é que a segurança da internet não depende apenas de grandes empresas de tecnologia, mas também da sustentabilidade dos projetos de código aberto que sustentam seus serviços.
