O Que Aconteceu
Na noite de 21 de outubro, o Australian Signals Directorate disse que estava ciente de uma instabilidade que podia estar afetando sites do governo, incluindo o próprio cyber.gov.au.
Na manhã seguinte, sites como o Australian Bureau of Statistics e o Jobs and Skills Australia também ficaram fora do ar por um tempo.
Um porta-voz do Ministro de Cibersegurança disse que alguns sites estavam temporariamente indisponíveis enquanto eram tomadas medidas para reduzir os riscos dessa vulnerabilidade.
E não foi só a Austrália. Serviços do governo na Holanda, Finlândia, Dinamarca e França também saíram do ar por precaução.
Eles não foram derrubados por hackers. Muitos saíram do ar de propósito, pra ficar seguros enquanto atualizavam.
O Alicerce Debaixo da Maior Parte da Internet
A maioria dos sites é construída em cima de uma coisa chamada PHP.
Segundo a W3Techs, o PHP roda em cerca de 75% dos sites cuja linguagem de programação dá pra identificar. Sites em WordPress, lojas online, páginas do governo. Só o WordPress, que roda em PHP, está por trás de uns 43% de todos os sites.
Pensa no PHP como o alicerce debaixo da maioria das casas da internet. Você não vê. Só mora em cima dele.
Duas Rachaduras no Alicerce
Pesquisadores encontraram duas rachaduras nesse alicerce. Elas agora são conhecidas como PHP2Shell.
A versão simples é esta. Quando o PHP ficava sem memória no meio de um acesso, ele podia ser interrompido no meio do caminho, ou deixar para trás informações antigas que já deveriam ter sido apagadas.
Em outras palavras, quando um site ficava sobrecarregado, o PHP podia deixar uma porta aberta.
E o próximo acesso podia passar direto por ela, e rodar o próprio código naquele servidor.
Sem precisar de senha.
- 🚨A equipe do PHP deu nota 9,2 de 10 para a gravidade das duas falhas.
- 🔓Elas permitem “execução remota de código sem autenticação”. Ou seja, um desconhecido rodando comandos em um servidor sem nunca fazer login.
- 📅Pesquisadores dizem que todas as versões do PHP da última década têm pelo menos uma delas, desde o PHP 5.4.
Os nomes oficiais são CVE-2026-109618 e CVE-2026-109619, caso a pessoa do TI pergunte.
E Como Se Encontra uma Porta Assim?
Pesquisadores de segurança, os hackers do bem, leem código procurando pontos fracos. É um trabalho lento e cuidadoso.
Agora a IA está entrando nisso também. Ela consegue ler uma quantidade enorme de código, testar ideia atrás de ideia, e não cansa.
Foi exatamente o que aconteceu aqui. A empresa de segurança Calif disse que encontrou as falhas em agosto usando um grande modelo de linguagem. A Wiz, outra empresa de segurança, disse que usou a própria ferramenta de pesquisa com IA junto com modelos de IA de ponta do Google e da OpenAI.
Nas palavras da Wiz, os modelos de IA de ponta “reduziram muito essa barreira, transformando uma falha antiga em um exploit”, ou seja, em um ataque que funciona.
É isso que quer dizer “uma IA que age”.
Você não faz uma pergunta. Você dá uma tarefa.
A Parte Que Quase Ninguém Vê
Quando os hackers do bem encontram uma falha, eles não postam. Isso se chama divulgação coordenada.
- 🤫Eles avisam os desenvolvedores, em segredo.
- 🛠️Os desenvolvedores criam a correção em segredo.
- 📆Eles combinam uma data.
- 📣E nesse dia, a correção e a notícia saem juntas, pra todo mundo atualizar antes que os atacantes alcancem.
Dessa vez, o segredo vazou nas redes sociais antes da data. No dia 20 de outubro, um post citou as duas falhas e disse que elas seriam reveladas dois dias depois.
E a corrida começou mais cedo. Na mesma noite, o PHP publicou um aviso antecipado e adiantou a correção para 21 de outubro, dizendo que podia lançar antes se os detalhes se tornassem públicos.
Empresas de segurança como a Cloudflare dizem que atacantes já estão tentando usar. O Australian Cyber Security Centre disse que não tinha conhecimento de exploração ativa, mas mesmo assim deu ao alerta a classificação mais alta: crítico.
Então, o Que Isso Significa pra Gente?
Você não precisa entender de memória corrompida pra fazer a sua parte.
Se você tem um site, um blog ou um negócio no WordPress, manda isso pra quem cuida dele e pergunta uma coisa só: tá atualizado?
- ✅As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
- ⚠️O PHP 8.1 e versões mais antigas não recebem mais atualizações oficiais do projeto PHP. Se o seu site roda em uma delas, é hora de uma conversa maior com a sua hospedagem.
- ☁️Se outra empresa hospeda o seu site, pergunte se eles já aplicaram a atualização.
E pra todo mundo: quando o celular ou o computador pedir pra atualizar, aceita.
Aquele botãozinho é o final de uma corrida que você nunca viu.
A IA está ajudando a encontrar as rachaduras mais rápido. As nossas atualizações também podem ser rápidas.
💜
Fontes
Tudo o que está aqui vem destas fontes. Comece pelas oficiais. Todas estão em inglês.
php.net
O alerta oficial da equipe do PHP, com as versões corrigidas e medidas parciais de proteção.
cyber.gov.au
O alerta do Australian Cyber Security Centre sobre as falhas no PHP e o que as organizações devem fazer.
ia.acs.org.au
Como a IA ajudou a encontrar as falhas e quais sites do governo saíram do ar.
cybergirllab.com
É o Mês de Ação em Cibersegurança. Oito pequenas ações, a começar pelas atualizações.