Agências governamentais e empresas de diferentes países desligaram sites nesta quarta‑feira (21) após identificarem duas falhas críticas na linguagem PHP. A medida visa impedir que hackers explorem vulnerabilidades que permitem acesso direto ao sistema de arquivos ou ao banco de dados do servidor.

As falhas "frequentemente proporcionam um caminho direto para o sistema de arquivos ou para o banco de dados do servidor", afirmou a NSA, em comunicado no X.

Destaques:

  • Falhas críticas no PHP detectadas em 21/10/2026
  • NSA e Agência Nacional de Cibersegurança pedem correção imediata
  • Atualização lançada na mesma data

Reação de órgãos de segurança

A Agência de Segurança Nacional dos Estados Unidos (NSA) solicitou que todas as organizações corrigissem as falhas imediatamente ou desativassem os sistemas vulneráveis. Na França, a Agência Nacional de Cibersegurança ordenou a indisponibilidade de sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris. Na Holanda, o serviço nacional de identidade digital DigiD, o site da Câmara dos Representantes e o do Centro Nacional de Cibersegurança foram desligados como medida preventiva, informou a emissora pública NOS.

Origem e divulgação das vulnerabilidades

As falhas foram reportadas em agosto pela empresa de segurança Calif e pela OpenAI, que as identificou independentemente no mesmo dia. Posteriormente, a Wiz, empresa de segurança na nuvem pertencente ao Google, revelou outras formas de exploração. As informações foram comunicadas privadamente aos desenvolvedores do PHP e mantidas em sigilo até a preparação de um patch.

"Se você usa PHP, é imperativo atualizá-lo imediatamente", afirmou a PHP Foundation, que financia os desenvolvedores da linguagem.

Atualização e perspectivas

Desenvolvedores voluntários do projeto PHP lançaram uma atualização corretiva na quarta‑feira (21). O incidente ocorre em meio ao aumento de divulgações sobre segurança de software impulsionadas por modelos de inteligência artificial cada vez mais avançados. Analistas alertam que o número de vulnerabilidades detectadas em 2026 pode dobrar o recorde do ano anterior.

A corrida contra o tempo para retirar sites do ar começou quando detalhes das falhas vazaram online na terça‑feira, um dia antes do lançamento previsto da correção.