PHP admite falhas de dois anos e falta de recursos após brechas críticas

A revelaç ã o oficial da Fundaç ã o PHP trouxe à tona os bastidores turbulentos que antecederam a liberaç ã o das correç õ es de seguranç a. Em comunicado detalhado divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves já era conhecida por desenvolvedores desde 2024. No entanto, o processo de reparo travou durante meses em debates internos sobre incompatibilidades té cnicas, riscos de novas falhas e a escassez de programadores dedicados exclusivamente ao projeto.

A organizaç ã o reconheceu abertamente que a demora configurou uma falha de governanç a. “ O atraso foi uma falha estrutural, causada tanto pelo processo de decisã o da equipe de seguranç a quanto pela falta de recursos” admitiu a fundaç ã o, em nota oficial. O cená rio de vulnerabilidade ganhou contornos crí ticos nas semanas seguintes, impulsionado por auditorias auxiliadas por inteligê ncia artificial (IA) e por relató rios de empresas como Calif, OpenAI e Wiz. Com o avanç o das investigaç õ es, a prioridade passou a ser a reestruturaç ã o da equipe de seguranç a e a adoç ã o de processos mais rá pidos para aprovaç ã o de correç õ es. We have posted more information about today' s security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work.

#php #security https: //t. co/gbGTmk7yh1— The PHP Foundation (@ThePHPF) October 21, 2026 Apesar dos esforç os de coordenaç ã o, o sigilo desmoronou dias antes do lanç amento oficial. Nesta terç a-feira (20), có digos de identificaç ã o circularam na internet e, horas depois, um ví deo com uma demonstraç ã o prá tica de invasã o vazou na rede. A situaç ã o atingiu o limite quando a distribuidora Chainguard publicou imagens atualizadas com as correç õ es antes do fim do prazo combinado, o que permitiu que criminosos analisassem o có digo biná rio de forma antecipada. A atitude gerou forte revolta entre profissionais da tecnologia nos fó runs on-line.

Em discussõ es na comunidade do Reddit, administradores de sistemas e engenheiros criticaram severamente a quebra do acordo de confidencialidade pela distribuidora. Um usuá rio expressou indignaç ã o ao relatar que precisou desligar os servidores da empresa à s pressas e ainda foi abordado por parceiros da companhia tentando vender serviç os de seguranç a, desabafo que reuniu centenas de apoios na plataforma. Comment by u/elizabethn from discussion in PHP “ Fomos contatados por afiliados da Chainguard usando nosso formulá rio de suporte pú blico, perguntando se gostarí amos de agendar uma reuniã o com eles para que pudessem nos vender seus serviç os de seguranç a.

Ler que eles quebraram o embargo agora e, assim, colocaram metade da internet em risco me deixa furioso. Vou garantir que nossa empresa nunca trabalhe com eles” relatou Arbaal. Para pesquisadores de seguranç a da informaç ã o e desenvolvedores independentes que integram o ecossistema de có digo aberto no Reddit, o episó dio funciona como um chamado urgente para que empresas e governos revejam a forma como financiam tecnologias essenciais. Comment by u/elizabethn from discussion in PHP “ Se cada empresa que lucra com PHP desse ao menos uma gota de apoio, a equipe teria recursos para lidar com essas questõ es de forma oportuna” pontuou um dos desenvolvedores, em manifestaç ã o repercutida na comunidade té cnica. Em sintonia, em nota oficial, a Fundaç ã o PHP destacou a urgê ncia do apoio financeiro estruturado: As falhas que ameaç am milhõ es de servidores

As vulnerabilidades que mobilizaram a comunidade de tecnologia receberam os có digos https: //www. cve. org/CVERecord? id=CVE-2026-109618 e CVE-2026-109619, poré m ficaram amplamente conhecidas pelo termo “ PHP2Shell” Ambas afetam partes centrais e cotidianas do motor da linguagem: a gestã o de memó ria e o tratamento de erros. A primeira brecha (CVE-2026-109618) surge de um problema em situaç õ es de estouro de memó ria. Se uma requisiç ã o atingia o limite exato de consumo estipulado pelo sistema, o PHP deixava dados internos parcialmente inicializados e depois os tratava como vá lidos, o que corrompia a memó ria. A segunda (CVE-2026-109619) ocorria quando um erro fatal deixava o estado global apontando para espaç os de memó ria já liberados e permitia que uma requisiç ã o posterior manipulasse esses dados. Na prá tica, as falhas permitiam que invasores sem qualquer senha ou autenticaç ã o executassem có digos maliciosos de forma remota em servidores vulnerá veis.

Como o problema atinge o motor principal do PHP, a brecha colocou sob risco imediato uma grande parcela de sites, lojas virtuais e portais corporativos em todo o mundo. Leia sobre o caso “ PHP2Shell” de maneira detalhada.