Governos e empresas de vários países desativaram sites nesta quarta-feira (21) depois que duas falhas críticas no PHP se tornaram públicas. O PHP é a linguagem de programação usada em grande parte das páginas da internet.
As brechas permitem que hackers assumam o controle de servidores sem precisar de senha. A NSA, agência de segurança nacional dos EUA, orientou as organizações a corrigir os sistemas imediatamente ou a desligá-los.
Vazamento antecipou a corrida
As vulnerabilidades foram reportadas em agosto pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT. As duas chegaram às falhas de forma independente, no mesmo dia. Mais tarde, a Wiz, empresa de segurança em nuvem que pertence ao Google, informou ter encontrado outras formas de explorá-las.
O caso vinha sendo tratado em sigilo. Os desenvolvedores do PHP receberam o alerta de forma privada e prepararam a correção sem divulgação. O plano foi atropelado na terça-feira (20), quando os detalhes vazaram na internet, um dia antes do lançamento previsto.
A atualização foi publicada nesta quarta-feira (21) pelos desenvolvedores voluntários que mantêm o projeto. Com as informações já expostas, porém, muitas organizações correram para tirar páginas do ar.
Alcance amplo
O risco é grande porque o PHP está na base de plataformas populares de criação de sites. Lojas virtuais, veículos de notícias e serviços governamentais estão entre as páginas que podem ser afetadas.
Não é a primeira vez que uma brecha em um software muito usado provoca uma corrida global por correções: em 2025, falhas no SharePoint, da Microsoft, atingiram cerca de 400 organizações.
Europa desliga serviços públicos
Na França, os sites de administrações locais, entre eles o da Prefeitura de Polícia de Paris, estão fora do ar desde a tarde de quarta-feira. Segundo o Ministério do Interior, a medida atendeu a um pedido da Agência Nacional de Cibersegurança após a detecção de uma vulnerabilidade crítica.
Nos Países Baixos, o DigiD, serviço nacional de identidade digital, foi desligado por precaução. Também saíram do ar os sites da Câmara dos Representantes e do centro nacional de cibersegurança, segundo a emissora pública holandesa NOS.
IA acelera descobertas
O episódio acontece no auge das divulgações de falhas de software, impulsionadas por modelos de inteligência artificial cada vez mais potentes. Se o ritmo atual continuar, o número de vulnerabilidades detectadas em 2026 pode chegar ao dobro do recorde do ano passado.
O caso confirma a tendência que já aparecia em maio, quando o Google deteve um ataque em que criminosos usaram IA para explorar uma falha zero-day em uma empresa.