A identificação de duas vulnerabilidades críticas na linguagem de programação PHP desencadeou uma mobilização de emergência em órgãos públicos e empresas de tecnologia em todo o país. As falhas abrem caminho para que agentes maliciosos executem códigos arbitrários e assumam o controle de servidores web sem a necessidade de credenciais de login ou qualquer forma de autenticação prévia. Diante da severidade do cenário e de relatórios internacionais que apontam milhões de tentativas automatizadas de exploração, a administração pública brasileira passou a retirar portais e sistemas do ar de maneira preventiva.
O alerta central no país partiu do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), órgão vinculado ao Gabinete de Segurança Institucional (GSI) da Presidência da República. Por meio do Alerta nº 93/2026 e da Recomendação Técnica nº 19/2026, a entidade técnica orientou todos os órgãos da administração pública federal direta e indireta a realizarem um inventário imediato de seus servidores e aplicarem os pacotes de correção disponibilizados pela comunidade oficial do PHP. Para casos em que a atualização não possa ser concluída de forma imediata, o órgão recomendou expressamente o isolamento temporário e a restrição de acesso a qualquer aplicação exposta diretamente à internet pública.
Entenda as falhas críticas CVE-2026-109618 e CVE-2026-109619
As duas vulnerabilidades catalogadas na base Common Vulnerabilities and Exposures (CVE) receberam pontuação de gravidade calculada em 9,2 no índice CVSS (Common Vulnerability Scoring System), patamar classificado tecnicamente como crítico. O principal vetor de ameaça é a possibilidade de Execução Remota de Código (RCE, na sigla em inglês), permitindo a invasores manipular o fluxo do servidor com pacotes especialmente adulterados enviados via requisições HTTP comuns.
A falha designada como CVE-2026-109618 reside na camada de gerenciamento de exceções e alocação de recursos durante situações de falta de memória (Out of Memory). Quando o ambiente PHP esgota temporariamente o limite de memória alocado durante o processamento de uma requisição, estruturas internas de dados permanecem apenas parcialmente inicializadas. Na etapa de encerramento da rotina, o limpador de memória pode interpretar esses dados incompletos como ponteiros válidos, causando uma corrupção crítica da memória do processo que viabiliza a injeção e execução de comandos pelo atacante.
Já o registro CVE-2026-109619 envolve o reaproveitamento inadequado de estados globais internos em processos de execução persistentes, como trabalhadores do PHP-FPM e módulos acoplados a servidores Apache (mod_php). Na ocorrência dessa brecha, resíduos de memória de uma requisição anterior não são totalmente descartados antes que o mesmo núcleo atenda à chamada seguinte. Um invasor capacitado pode orquestrar requisições em sequência para forçar o uso de variáveis obsoletas e corromper o contexto operacional do interpretador.
Impactos imediatos na Anatel e na Justiça Federal
A gravidade da notificação levou instituições estratégicas em Brasília e nos estados a cortarem conexões externas para evitar comprometimentos. A Agência Nacional de Telecomunicações (Anatel) interrompeu temporariamente a consulta e o acesso externo ao Sistema Eletrônico de Informações (SEI), ambiente digital utilizado para protocolo, tramitação de processos administrativos e comunicações institucionais da agência reguladora.
Medida idêntica foi adotada na esfera do Poder Judiciário. O Tribunal Regional Federal da 1ª Região (TRF1), que responde pelo Distrito Federal e outros doze estados, suspendeu os acessos públicos e as conexões externas ao SEI institucional por determinação de suas equipes de segurança da informação, acompanhando orientações emitidas pelo Tribunal Regional Federal da 4ª Região (TRF4). O Tribunal Regional Federal da 6ª Região (TRF6), em Minas Gerais, também instaurou protocolos de contenção enquanto revisa parques computacionais e atualiza dependências em servidores legados. Até o momento, as autoridades relatam que não foram constatados incidentes de invasão consumada ou exfiltração de dados sensíveis na infraestrutura federal.
Alcance na web e riscos para o setor privado
Embora as ações mais visíveis tenham partido de órgãos governamentais, o ecossistema corporativo brasileiro enfrenta desafio de proporções similares. Dados globais de telemetria indicam que o PHP segue respondendo pelo processamento no lado do servidor (server-side) de aproximadamente 70% a 75% dos sites ativos em escala global, alimentando sistemas corporativos em Laravel, portais de comércio eletrônico e plataformas de gestão de conteúdo como WordPress.
Especialistas em cibersegurança destacam que ferramentas automatizadas e agentes orientados por inteligência artificial começaram a varrer blocos inteiros de endereços IP poucas horas após a publicação dos boletins técnicos de segurança. Servidores que ainda rodam configurações como mod_php associadas a versões sem atualização representam alvos fáceis para a instalação de webshells, abertura de portas de comunicação reversa e inclusão em redes zumbis voltadas a ataques distribuídos de negação de serviço (DDoS).
Versões oficiais corrigidas e medidas de mitigação
O grupo de desenvolvimento mantenedor da linguagem lançou oficialmente as versões corretivas que eliminam as brechas de memória. Os administradores de infraestrutura e provedores de hospedagem devem atualizar os ambientes para os seguintes lançamentos ou superiores:
- PHP 8.5: versão 8.5.12
- PHP 8.4: versão 8.4.27
- PHP 8.3: versão 8.3.36
- PHP 8.2: versão 8.2.35
O alerta reforça ainda que a família PHP 8.2 atinge o fim de seu ciclo de suporte oficial (End-of-Life) em 31 de dezembro de 2026, exigindo que organizações planejem a migração definitiva de aplicações para branches mantidas a longo prazo. Enquanto a atualização em ambientes produtivos passa pelas etapas de homologação e validação de compatibilidade, as equipes técnicas devem reforçar regras de inspeção profunda em Web Application Firewalls (WAF), bloquear chamadas externas para diretórios administrativos e isolar conexões diretas aos nós de processamento.
GSI / CTIR Gov e Agências de Notícias
