Duas vulnerabilidades classificadas com gravidade de 9,2 numa escala de 10 podem permitir ataques remotos, roubo de dados e execução de código malicioso. A Cloudflare ativou mecanismos de proteção, mas alerta que a atualização dos servidores continua a ser indispensável.
De accordo com informações avançadas pela Tecnoblog.net , duas falhas de segurança críticas na linguagem de programação PHP, utilizada por uma grande parte dos sites em todo o mundo, estão a gerar preocupação entre especialistas e administradores de sistemas, devido ao risco de interrupção de serviços, exposição de dados e controlo remoto de servidores por piratas informáticos.
As vulnerabilidades foram divulgadas ontem, quarta-feira, 21, pelos responsáveis pelo desenvolvimento do PHP e receberam uma classificação de gravidade de 9,2 numa escala de 10. Este blog especializado cita um comunicado, que revela que os problemas afetam servidores que utilizam o PHP 5.4 e versões posteriores.
As falhas, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619 e associadas ao nome php2shell, estão relacionadas com a gestão de memória durante o processamento de pedidos HTTP. A exploração destas vulnerabilidades pode permitir que atacantes executem código malicioso remotamente, sem necessidade de autenticação, comprometendo a segurança e o funcionamento dos sistemas afetados.
Perante a gravidade dos problemas, os responsáveis pelo PHP alertam que a atualização do software é a única opção segura para corrigir as vulnerabilidades.
Cloudflare ativa proteções, mas atualização continua necessária
A empresa de infraestrutura e segurança digital Cloudflare confirmou ter identificado as falhas e ativou mecanismos de proteção no seu sistema de firewall de aplicações web (WAF), cerca de nove horas antes da divulgação pública das vulnerabilidades. A proteção abrange também utilizadores do plano gratuito que tenham o serviço de firewall ativado. No entanto, a empresa ressalva que estas medidas não substituem a atualização dos servidores, considerada essencial para eliminar o risco associado às falhas.
O impacto potencial é significativo, uma vez que o PHP é utilizado na construção e manutenção de plataformas digitais de diferentes dimensões, incluindo sites de notícias, lojas virtuais, sistemas empresariais e serviços governamentais. A Cloudflare estima que a tecnologia esteja presente em cerca de 70% dos sites.
Entre os serviços afetados estão plataformas da Agência Nacional de Telecomunicações do Brasil (Anatel), que ficaram inacessíveis na quarta-feira. O Sistema Eletrónico de Informações (SEI) também continuava fora do ar, segundo as informações divulgadas.
As falhas foram identificadas de forma independente, meses antes da divulgação pública, pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT. A fuga antecipada de informações sobre as vulnerabilidades terá levado alguns responsáveis por sites a retirar temporariamente os serviços do ar, enquanto procediam à atualização dos servidores.
O caso volta a evidenciar a importância da manutenção regular dos sistemas informáticos e da aplicação atempada de atualizações de segurança. Num contexto em que serviços públicos e privados dependem cada vez mais de plataformas digitais, vulnerabilidades deste tipo podem representar riscos não apenas para a disponibilidade dos serviços, mas também para a confidencialidade e integridade dos dados dos utilizadores.
