Falha crítica em linguagem usada por milhões de sites coloca a internet em alerta mundial

Uma tecnologia que trabalha silenciosamente nos bastidores de milhões de sites se tornou o centro de uma crise internacional de cibersegurança. Pesquisadores descobriram duas falhas críticas no PHP, linguagem utilizada por plataformas como WordPress e Wikipedia. Os problemas, identificados com ajuda da inteligência artificial, podem permitir que criminosos assumam o controle de servidores sem precisar de senhas. A descoberta provocou alertas globais e a retirada temporária de páginas do ar.

O que é PHP e por que ele é tão importante para a internet?

Criado na década de 1990, o PHP é uma linguagem de programação gratuita e de código aberto utilizada principalmente para desenvolver páginas e aplicações na internet.

Seu nome significa Hypertext Preprocessor, ou pré-processador de hipertexto.

Ao contrário de tecnologias que funcionam diretamente no navegador, o PHP executa tarefas nos servidores. Ele pode consultar bancos de dados, processar formulários, autenticar usuários e preparar as informações exibidas nas páginas.

Isso significa que, mesmo sem perceber, milhões de pessoas interagem diariamente com sistemas desenvolvidos nessa linguagem.

O PHP está presente em aproximadamente 70% dos sites cujo código de servidor pode ser identificado, segundo dados citados pela Reuters. Entre as plataformas que dependem dele está o WordPress, utilizado por uma parcela expressiva dos sites do mundo.

Essa popularidade explica por que uma vulnerabilidade no PHP pode provocar consequências muito além de um único serviço.

Como funciona a falha de segurança que assustou o mundo?

O problema envolve duas vulnerabilidades identificadas como CVE-2026-109618 e CVE-2026-109619.

Ambas receberam classificação de gravidade de 9,2 em uma escala de até 10 pontos.

Conhecida como PHP2Shell, a ameaça pode permitir a execução remota de códigos maliciosos em servidores vulneráveis, sem que o invasor precise apresentar credenciais de acesso.

Na prática, um criminoso poderia explorar essas falhas para acessar informações confidenciais, modificar conteúdos ou comprometer sistemas.

O risco não significa, porém, que todos os sites desenvolvidos em PHP tenham sido invadidos. A exposição depende das versões utilizadas, das configurações e das medidas de proteção adotadas por cada organização.

As vulnerabilidades chamaram ainda mais atenção porque algumas de suas causas estavam presentes no software havia muitos anos.

Inteligência artificial ajudou a descobrir problemas antigos

Um dos aspectos mais surpreendentes da descoberta foi o papel da inteligência artificial.

Pesquisadores das empresas de cibersegurança Calif e Wiz utilizaram ferramentas avançadas para analisar o código do PHP e identificar falhas que haviam escapado das verificações tradicionais.

A tecnologia permitiu examinar combinações complexas de instruções e desenvolver testes de segurança em um ritmo muito superior ao dos métodos convencionais.

Segundo informações publicadas pela RTVE, a descoberta desencadeou uma mobilização internacional para corrigir os sistemas vulneráveis.

O episódio também revelou uma preocupação crescente: as mesmas ferramentas capazes de encontrar falhas podem ser utilizadas por criminosos para desenvolver ataques mais rapidamente.

Assim, a inteligência artificial se tornou simultaneamente uma aliada da segurança digital e um desafio para os profissionais responsáveis por proteger a internet.

Governos retiraram sites do ar para evitar ataques

A descoberta provocou uma reação imediata de autoridades e empresas de tecnologia.

Na Europa, diferentes órgãos públicos suspenderam temporariamente serviços digitais enquanto suas equipes verificavam a exposição às vulnerabilidades.

Entre as organizações afetadas estavam instituições da Finlândia, da Escócia e dos Países Baixos.

A Wikimedia, responsável pela Wikipedia, também desativou preventivamente alguns sistemas.

Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que organizações incapazes de instalar as correções imediatamente considerassem desligar os serviços vulneráveis.

A medida busca impedir que invasores aproveitem a brecha enquanto os sistemas permanecem desprotegidos.

Como proteger sites e dados pessoais?

Para empresas, desenvolvedores e administradores de sites, a principal recomendação é atualizar o PHP para uma versão corrigida, seguindo as orientações oficiais do projeto e dos fornecedores de hospedagem.

Também é importante verificar registros de acesso, investigar atividades suspeitas e confirmar se invasores instalaram mecanismos de acesso clandestino.

Usuários comuns não precisam instalar o PHP em seus computadores para se proteger. A responsabilidade pelas atualizações está principalmente com os responsáveis pelos servidores.

Entretanto, especialistas recomendam atenção a mensagens suspeitas, tentativas de phishing e eventuais comunicados de serviços que tenham sofrido incidentes de segurança.

A crise evidencia um problema estrutural da internet: tecnologias antigas continuam sustentando serviços modernos, e falhas escondidas por anos podem atingir milhões de sistemas simultaneamente.

O desafio agora é garantir que as correções sejam aplicadas antes que criminosos transformem as vulnerabilidades em ataques de grandes proporções.