Duas falhas no núcleo do PHP, a linguagem de programação que serve a maior parte da web, permitem que um atacante execute código em um servidor sem nenhuma senha. As duas estavam na linguagem havia cerca de 14 anos. Nenhuma foi encontrada por uma pessoa lendo código.
O projeto PHP lançou versões corrigidas em 21 de outubro de 2026 — o mesmo dia em que a pesquisa veio a público — e disse aos administradores para instalá-las imediatamente, ou tirar seus sites do ar até que pudessem fazê-lo.
O que as falhas fazem
As duas vulnerabilidades são identificadas como CVE-2026-109618 e CVE-2026-109619, e o projeto PHP descreve ambas como caminhos para execução remota de código sem autenticação. Elas têm nota de gravidade combinada de 9,2 em 10.
A primeira explora o modo como o PHP lida com a falta de memória: o interpretador pode ser interrompido quando os dados internos de uma requisição estão apenas parcialmente montados, e a limpeza que vem depois trata o dado quebrado como se fosse íntegro. A segunda deixa viva uma parte do estado interno de uma requisição depois que a memória que a guardava foi liberada, de modo que uma requisição posterior atendida pelo mesmo processo pode pegar a versão obsoleta antes de a inicialização apagá-la.
A Wiz Research, que publicou os achados sob o nome PHP2Shell, afirma que o par também permite ler remotamente o conteúdo da memória do processo do PHP. Essa memória costuma guardar senhas, tokens de autenticação, chaves de API e certificados.
Como o defeito está no próprio PHP, e não em uma aplicação específica, um site pode ficar exposto mesmo quando o seu próprio código foi escrito com cuidado. O projeto PHP aponta as instalações em mod_php como as de maior risco: ali uma requisição sem autenticação pode disparar o problema antes de uma única linha do código da aplicação rodar.
Como foram encontradas
A descoberta correu por dois caminhos que não sabiam um do outro.
A Calif, empresa de testes ofensivos com IA, achou o primeiro problema em 1º de agosto usando o GPT-5.6 Sol, da OpenAI. A Wiz chegou de forma independente em 19 de agosto, usando o Gemini 4 Argon, do Google, o GPT-5.6 Sol e o seu próprio sistema Wiz Atlas; segundo a Wiz, o Gemini 4 Argon contribuiu não só para encontrar a falha, mas para construir um exploit funcional, detectar ataques e checar a correção. A Wiz comunicou o que tinha à equipe do PHP em 24 de agosto.
A OpenAI então coordenou um grupo que incluiu a Wiz, a Calif, o projeto PHP, a Cloudflare, a Quarkslab e agências do governo americano para preparar a correção antes de qualquer anúncio público.
Uma versão mais restrita da mesma fragilidade havia aparecido em 2024 e foi considerada menor na ocasião.
A correção, e a corrida depois dela
O PHP publicou quatro versões de segurança em 21 de outubro: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As versões 8.1 e anteriores já não recebem atualizações do projeto; foram publicados backports mínimos para PHP 7.4, 8.0 e 8.1 para administradores dispostos a compilar a partir do código-fonte.
O projeto também listou mudanças de configuração que reduzem a exposição — limitar o tamanho da requisição, desligar o acompanhamento de progresso de upload de sessão — enquanto afirma com clareza que elas não tornam a instalação segura. Atualizar é a única correção completa.
A escala do que precisa ser atualizado é a parte incômoda. O PHP roda em cerca de 70% de todos os sites, e só o WordPress, construído sobre ele, responde por aproximadamente 40%. A Palo Alto Networks identificou 22,6 milhões de instâncias que poderiam estar vulneráveis.
Os atacantes se mexeram mais rápido que a maioria dos administradores. A Cloudflare registrou dezenas de milhares de tentativas de exploração em 45 minutos a partir do vazamento da notícia, centenas de milhares em duas horas e milhões até a noite de 21 de outubro. A Amazon Web Services disse que a falha estava "agora sendo amplamente explorada em ambiente real" e relatou sondagens dias antes da divulgação pública, o que sugere que a informação escapou cedo do grupo coordenado.
Agências de governo da Holanda e da Finlândia tiraram sites do ar por precaução, e o Archive.org ficou temporariamente fora. A divisão cibernética do FBI (a polícia federal americana), a National Security Agency (NSA, a agência de inteligência de sinais dos Estados Unidos), o primeiro-ministro do Japão e a equipe de resposta a emergências informáticas da União Europeia pediram que as organizações aplicassem a correção.
Por que esta falha está sendo lida como uma virada
A lição técnica é conhecida: um erro de memória de uma década em infraestrutura amplamente instalada, uma correção às pressas, uma corrida contra quem já está varrendo a internet em busca dela.
O que é novo é quem encontrou. A Wiz sustenta que o episódio "marca um ponto de inflexão da IA", e a razão é a simetria — a mesma capacidade que localizou um erro escondido por 14 anos também encurta o trabalho de transformá-lo em um ataque utilizável. A OpenAI fez a mesma observação sobre os seus próprios modelos. TJ Sayers, do Center for Internet Security, disse que o caso mostra que a IA consegue tanto revelar falhas enterradas quanto converter cadeias complexas de exploração em ataques práticos.
Gang Wang, da Universidade de Illinois, chamou o impacto potencial de "massivo" para os sites que não se atualizarem a tempo.
Isso aponta para uma direção específica. Aqui os defensores ganharam meses de vantagem porque os pesquisadores reportaram em sigilo e a correção foi coordenada. Nada nessas ferramentas garante essa ordem na próxima vez.
Com informações do arquivo de lançamentos do projeto PHP, da Wiz Research e da Fortune.
