Na quarta-feira (21), uma onda de precauções foi desencadeada por agências governamentais e empresas em diversos países, que optaram por retirar do ar seus sites após a identificação de falhas críticas na linguagem de programação PHP. Essa situação evidencia a vulnerabilidade de uma parte significativa da internet, que utiliza o PHP em suas plataformas.
A Agência de Segurança Nacional dos Estados Unidos (NSA) foi clara em seu alerta, solicitando que organizações corrigissem as falhas imediatamente ou desativassem seus sistemas vulneráveis. Segundo a NSA, essas vulnerabilidades oferecem um “caminho direto para o sistema de arquivos ou para o banco de dados do servidor”, o que poderia facilitar a ação de hackers que, sem necessidade de senha, poderiam assumir o controle de servidores.
O PHP, muito utilizado em sites de comércio eletrônico, portais de notícias e serviços governamentais, torna a situação ainda mais alarmante, uma vez que a correção dessas falhas afeta um grande número de páginas na web. O problema ganhou notoriedade em um contexto em que as preocupações sobre segurança de software estão em alta, impulsionadas pela evolução de modelos de inteligência artificial.
Uma análise que vem sendo feita aponta que, se a tendência atual continuar, as vulnerabilidades detectadas em 2026 poderão dobrar o recorde registrado no ano passado. Em resposta à crise, desenvolvedores voluntários do projeto PHP lançaram uma atualização na mesma data em que as falhas foram descobertas, enfatizando a importância de que os usuários atualizem suas versões imediatamente.
As falhas foram inicialmente reportadas em agosto pela Calif, uma empresa de segurança, e pela OpenAI, que as identificou de maneira independente. Após a comunicação privada com os desenvolvedores do PHP, os detalhes acabaram vazando online, resultando em uma corrida contra o tempo para mitigar os riscos.
Na França, a situação se agravou com a Agência Nacional de Cibersegurança recomendando que sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, fossem desativados em função da descoberta da vulnerabilidade. Da mesma forma, nos Países Baixos, serviços essenciais como o DigiD, o site da Câmara dos Representantes e o centro nacional de cibersegurança foram desligados como medida de precaução, conforme reportado pela emissora pública NOS.
