Duas vulnerabilidades críticas na linguagem de programação PHP estão a gerar preocupação entre especialistas em cibersegurança e organizações que dependem desta tecnologia para manter os seus serviços online.
O alerta ganhou dimensão internacional depois de várias instituições nos Países Baixos e noutros países europeus terem decidido suspender temporariamente o acesso aos seus sites e plataformas digitais, como medida preventiva.
O PHP é uma das linguagens mais utilizadas no desenvolvimento web. Funciona principalmente no servidor e permite executar tarefas essenciais, como gerir contas de utilizadores, processar formulários, realizar operações com bases de dados e suportar funcionalidades de lojas online.
Por isso, uma falha grave nesta tecnologia pode afetar não apenas um site, mas também aplicações e serviços que dependem das versões vulneráveis do PHP.
Falhas podem permitir ataques aos servidores
De acordo com as informações divulgadas pelo Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC), as vulnerabilidades podem ser exploradas através de um simples pedido HTTP do tipo POST, podendo levar à execução remota de código, conhecida pela sigla RCE (Remote Code Execution).
Na prática, este tipo de ataque pode permitir que um atacante execute comandos no servidor vulnerável, dependendo das condições do sistema e da exploração bem-sucedida da falha. As consequências podem incluir o acesso não autorizado a dados, a alteração de conteúdos ou a interrupção dos serviços.
A situação tornou-se ainda mais preocupante com a divulgação pública de código de prova de conceito (PoC), que demonstra como uma vulnerabilidade pode ser explorada. A existência deste código pode facilitar o trabalho de quem procura identificar sistemas desprotegidos.
Inteligência artificial ajudou a identificar as vulnerabilidades
As duas falhas foram identificadas em agosto com o auxílio de modelos de inteligência artificial desenvolvidos pela OpenAI e pela Google.
A descoberta demonstra como a IA pode contribuir para a análise de código e a identificação de problemas de segurança que poderiam passar despercebidos durante muito tempo.
Segundo a empresa de cibersegurança Wiz, que participou na comunicação das falhas aos responsáveis pelo PHP, as vulnerabilidades existiam há mais de uma década e estão entre as mais graves identificadas nesta tecnologia.
No entanto, a mesma capacidade tecnológica que ajuda os especialistas a encontrar falhas também pode aumentar a velocidade com que os atacantes analisam sistemas e procuram formas de os comprometer. Por esse motivo, a divulgação responsável e a aplicação rápida das correções são fundamentais.
Sites governamentais, hospitais e empresas afetados
Nos Países Baixos, várias organizações decidiram retirar serviços da Internet por precaução, incluindo plataformas governamentais, serviços públicos digitais e sites de instituições de saúde.
Entre os serviços afetados estiveram o DigiD, utilizado na identificação digital, o portal MijnOverheid e o site do parlamento neerlandês. Também foram reportadas interrupções em plataformas de comunicação social, serviços hospitalares, organizações de apoio e ferramentas utilizadas por entidades públicas.
O impacto chegou ainda a outros países europeus, incluindo a Bélgica, a Alemanha, a França e a Finlândia, onde algumas instituições também optaram por suspender temporariamente os seus sites.
A decisão de desligar estes serviços teve como objetivo reduzir a exposição ao risco enquanto eram avaliadas as medidas de proteção necessárias.
Apesar da dimensão do incidente, as autoridades neerlandesas indicaram que, até ao momento das declarações divulgadas, não existiam indícios confirmados de exploração ativa das vulnerabilidades. A ausência de sinais de ataques bem-sucedidos, contudo, não elimina a necessidade de agir rapidamente.
O que devem fazer os responsáveis pelos sites?
O NCSC recomendou que as organizações preparassem os seus sistemas para instalar as atualizações de segurança assim que estivessem disponíveis. As correções foram anunciadas para 21 de outubro de 2026, embora a disponibilidade possa variar consoante a versão e a distribuição utilizada.
Os responsáveis por sites e aplicações devem começar por identificar todas as versões do PHP instaladas, incluindo as utilizadas por sistemas de gestão de conteúdos, lojas online, plugins e outras aplicações.
Os responsáveis por sites e aplicações devem adotar medidas de segurança para reduzir os riscos associados às vulnerabilidades identificadas no PHP.
Instale uma versão corrigida e suportada, seguindo as instruções oficiais da equipa de segurança do PHP.
Confirme se o alojamento, o CMS, os plugins e os restantes componentes utilizam versões vulneráveis.
Identifique os serviços acessíveis pela Internet e determine quais precisam de medidas adicionais de proteção.
Analise os registos do servidor para detetar atividade suspeita e acompanhe possíveis tentativas de exploração.
Se não for possível instalar a correção de imediato, avalie restrições de acesso ou, quando o risco o justificar, a suspensão temporária do serviço.
Importante: medidas de mitigação não substituem a instalação das atualizações de segurança. Consulte os avisos oficiais do PHP para confirmar as versões corrigidas.
Daron Malakian diz que a inteligência artificial nunca teria imaginado o System of a Down
Egito prepara apoio militar defensivo à Arábia Saudita perante escalada da guerra no Iémen
Pedro Cassoma: da luta pela sobrevivência à criação da Bumba News
“Zunga” pinta retratos de encontro cultural em Luanda
Alzira Simões: três décadas entre conhecimento, cultura e desenvolvimento de pessoas
Mano Chaba: Trágico Falecimento do Kudurista Angolano
Contagem regressiva para o maior encontro da África, o Festival Internacional de Jazz da Cidade do Cabo
3 Finer Anuncia Separação da XB Label e Abre Discussão Sobre Relação Entre Artistas e Produtoras
Henda Slash Lenine : “Tornei-me amante de rock influenciado pelos programas Vídeo Disco e Explosão Internacional”
Suspensão Temporária de Eraldina Santos pela XB Label