Falhas em tecnologia usada por 70% dos sites da internet levam milhares de páginas a sair do ar em vários países
Tathyane Melo
22 outubro 2026 às 12h56
COMPARTILHAR
Governos e empresas de diversas nações, incluindo o Brasil, retiraram milhares de sites do ar nesta quinta-feira, 22, como precaução após a descoberta de duas falhas críticas na linguagem de programação PHP, que sustenta cerca de 70% dos sites da internet. As vulnerabilidades receberam nota 9,2 na escala CVSS, que mede a gravidade de falhas digitais de 0 a 10, e podem abrir caminho para invasões de hackers e para o acesso a sistemas internos e bancos de dados.
A Fundação PHP já lançou uma correção, mas autoridades de segurança cibernética recomendam atualização imediata ou, quando isso não for possível, restrição temporária do acesso público às aplicações vulneráveis.
O PHP é uma linguagem usada para processar informações nos servidores e viabilizar recursos como cadastros, logins, pagamentos e consultas em sites e lojas virtuais. Ele também é empregado por plataformas como o WordPress, que permite criar e administrar páginas na internet, e pelo Drupal, sistema de gerenciamento de conteúdo de código aberto. Por isso, a descoberta provocou alertas de autoridades de diferentes países.
As duas falhas, coletivamente chamadas de PHP2Shell, foram identificadas por equipes da OpenAI, da empresa de cibersegurança Wiz, pertencente ao Google, e de outra empresa de cibersegurança, a Calif. Os bugs estavam ocultos no software havia anos e só foram encontrados com o auxílio de inteligência artificial. Eles poderiam permitir que invasores acessassem sites e lessem a memória, que pode conter informações confidenciais, como senhas.
A Agência de Segurança Nacional dos EUA e a agência europeia de cibersegurança aconselharam as empresas a adotarem medidas imediatas. Países como Bélgica, Finlândia, França e Alemanha também implementaram ações preventivas.
No Brasil, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou um alerta no qual recomenda que as instituições identifiquem os sistemas que usam PHP e instalem as correções; caso isso não seja possível de imediato, a orientação é considerar a restrição temporária do acesso público às aplicações vulneráveis.
No Reino Unido, quase três dezenas de serviços do governo estão indisponíveis e quatro estão “parcialmente indisponíveis” durante atualizações de segurança, conforme relatou a ministra do governo, Elizabeth Lloyd, à Câmara dos Lordes. “Nenhum serviço crítico de grande porte voltado ao público está sendo afetado pelo processo, mas alguns serviços limitados podem ficar temporariamente offline enquanto o trabalho de segurança é realizado”, disse um porta-voz do governo britânico a repórteres.
Na Holanda, o governo confirmou a suspensão preventiva de portais como o DigiD, utilizado pela população para acessar serviços digitais do Estado. As interrupções de emergência em serviços bancários, aéreos, ferroviários, fiscais e governamentais, de Tóquio a Helsinque, marcaram um dos testes mais sérios das ferramentas de programação com décadas de existência que mantêm a web funcionando e expuseram o quanto governos e empresas dependem de um código que poucas pessoas compreendem.
“Não vejo nada parecido com isso há muito, muito tempo”, disse o presidente-executivo da Microsoft, Satya Nadella, em um evento na Alemanha nesta quinta-feira, ao afirmar que o incidente mostrou a importância de desenvolver software que possa ser mantido com segurança à medida que os sistemas se tornam mais complexos. A Cloudflare afirmou ter identificado milhares de tentativas de exploração das vulnerabilidades, mas declarou que, até o momento, não há sinais de um ataque cibernético em massa.
“Nas 10 horas antes do anúncio público, observamos milhares de tentativas de exploração em toda a rede”, disse o presidente-executivo da Cloudflare, Matthew Prince, em uma postagem no X na noite de quarta-feira. “Esse número saltou para dezenas de milhares nos 45 minutos após o anúncio, centenas de milhares em duas horas e, agora, milhões.”
Madeline Lawrence, cofundadora da empresa belga de segurança cibernética Aikido Security, afirmou que os detalhes das falhas se tornaram públicos antes que as correções estivessem prontas, com ataques sendo relatados desde então. “As empresas estão correndo para se atualizar contra invasores que podem usar IA para explorá-las. Essa é toda a corrida”, declarou.
“Com o PHP por trás de uma parcela tão vasta da web, a exposição poderia alcançar praticamente todos os lugares onde as pessoas gastam dinheiro online”, disse Nigel Green, CEO do deVere Group, uma empresa de consultoria financeira. “Plataformas de reservas, marketplaces, serviços de assinatura, sites de venda de ingressos, aplicativos de entrega e portais de serviços públicos podem estar armazenando dados de cartão em sistemas construídos com o mesmo tipo de código”, acrescentou.
Leia também:
TJGO combate sete mitos sobre adoção por casais LGBTQIA+ em nova cartilha