Falhas críticas no PHP forçam correção de emergência; varreduras automatizadas já ocorrem
Atualizações de segurança foram liberadas em 21 de outubro de 2026; não há soluções completas em nível de aplicação, e empresas devem agir imediatamente.
Pesquisadores, combinando análise humana e modelos avançados de IA, identificaram duas falhas críticas no motor do PHP que permitem execução remota de código sem autenticação. Provas de conceito (proofs of concept) começaram a circular antes de a correção completa estar disponível.
O projeto PHP publicou correções de emergência para os ramos suportados em 21 de outubro de 2026 e pediu atualização imediata, ressaltando que não existem soluções completas apenas no nível da aplicação.
Empresas de segurança e provedores relataram milhões de sondagens automatizadas e tentativas de exploração nas horas seguintes à divulgação pública, embora a PHP Foundation afirme não ter confirmado até agora compromissos generalizados bem‑sucedidos.
Organizações são aconselhadas a inventariar todas as instâncias de PHP, priorizar para correção ou isolamento as que ficam expostas à internet e as versões fora de suporte, e executar checagens forenses por sinais de intrusão anterior à correção, como processos incomuns, alterações de arquivos ou conexões de rede inesperadas.
O caso evidencia uma mudança maior: ferramentas de IA estão acelerando a transformação de falhas de motor em exploits práticos, aumentando a pressão sobre equipes com poucos recursos e tornando ainda mais essenciais a aplicação rápida de patches, o monitoramento contínuo e a resposta a incidentes para limitar danos.