Sites governamentais, hospitais, instituições e empresas retiraram serviços da internet nesta semana enquanto equipes técnicas tentavam corrigir duas falhas críticas no PHP. A suspensão de páginas foi, em vários casos, uma medida preventiva: ela não comprova que todos esses serviços tenham sofrido invasões.
Por que tantos sites saíram do ar?
Segundo levantamento da Reuters atualizado em 22 de outubro, órgãos da Alemanha, França, Bélgica, Países Baixos, Finlândia e República Tcheca adotaram restrições temporárias. Organizações como a Wikimedia Foundation e o Internet Archive também anunciaram medidas de manutenção ou suspensão enquanto aplicavam atualizações. Autoridades de alguns países informaram expressamente que não encontraram evidências de comprometimento.
O que é PHP2Shell?
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619, apelidadas de PHP2Shell, atingem o mecanismo PHP usado por inúmeros sites. Em configurações vulneráveis, podem abrir caminho para execução remota de código sem autenticação. Sua gravidade não significa que qualquer página construída em PHP já tenha sido invadida: a exposição concreta depende da versão, das condições de exploração e da infraestrutura.
Correções foram divulgadas em 21 de outubro. O alerta do CTIR Gov no Brasil recomenda identificar servidores e aplicações PHP e aplicar as atualizações do fornecedor, com verificação de compatibilidade.
Houve ataques de verdade?
Além das paralisações preventivas, entidades de segurança relataram exploração ativa. A existência de tentativas de invasão não equivale a comprovar vazamento de dados em todas as instituições citadas. Administradores devem verificar registros e alertas de segurança mesmo depois de atualizar.
O WordPress também está envolvido?
Sim, no sentido de que o WordPress funciona sobre PHP. Isso não significa que todo site WordPress esteja comprometido. O risco é avaliado a partir da versão PHP em execução no servidor e das condições técnicas do ambiente. Atualizar somente o painel, os temas ou plugins do WordPress não substitui a correção do PHP fornecida pela hospedagem.
O alerta da Microsoft tem relação?
O Microsoft Digital Defense Report 2026 coloca serviços e órgãos governamentais entre os setores mais atingidos pela atividade maliciosa observada em seu conjunto de dados. É um retrato mais amplo da segurança digital, não uma atribuição dos incidentes desta semana à mesma vulnerabilidade. Não há base para afirmar que a Microsoft tenha dito literalmente que tudo está “fora de controle”.
O que fazer para se proteger?
Para administradores, as prioridades são confirmar com a hospedagem a versão PHP corrigida, realizar backup, aplicar atualizações homologadas, auditar logs e restringir acessos administrativos. Para visitantes, vale conferir o domínio antes de fornecer informações, desconfiar de links recebidos por mensagem e usar autenticação multifator. Um site temporariamente indisponível não é, por si só, sinal de vazamento de senhas.
Leia também: Veja nosso guia sobre como proteger um site WordPress diante das falhas PHP2Shell.
Fontes
Reuters, 21–22/10/2026; CTIR Gov, alerta 93/2026; CISC Gov; Microsoft Digital Defense Report 2026.
