Falha crítica no PHP: o que o gestor de PME deve checar hoje
Duas falhas críticas no PHP, já exploradas na prática segundo o KrebsOnSecurity, afetam sites em WordPress, Joomla, Drupal e Magento. Veja o que um gestor de PME pode verificar e cobrar hoje.
Se o site da sua empresa roda em WordPress, Joomla, Drupal ou Magento, ele provavelmente usa PHP, e vale parar o que está fazendo para checar isso hoje. Segundo o KrebsOnSecurity, o projeto PHP lançou uma atualização de emergência para duas vulnerabilidades críticas que permitem a um invasor executar código no servidor. O site afirma que há exploits funcionando e que as falhas já são exploradas na prática.
O que foi divulgado
O KrebsOnSecurity informa que quase 70% dos sites precisam atualizar o software central para corrigir o problema. As falhas têm os identificadores CVE-2026-109618 e CVE-2026-109619 e afetam servidores com PHP 5.4 ou posterior. As correções estão nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A Cloudflare disse ter detectado exploração e ativado regras de firewall de aplicações web para barrar o tráfego de ataque. A Reuters, citada pela fonte, relata que sites governamentais na Europa e em outros lugares saíram do ar após a divulgação.
Pesquisadores da Wiz afirmam que é provável uma exploração em massa para instalar "web shells", painéis que dão ao invasor controle remoto do site. A própria Wiz compara o caso ao Log4Shell, de 2021, e prevê que muitas organizações vão demorar a atualizar, porque o PHP está embutido em muitas aplicações.
Primeiro, descubra quem cuida do site: agência, freelancer ou provedor de hospedagem. Em pequenas empresas, é comum ninguém saber. Envie uma mensagem hoje perguntando qual versão do PHP o site usa e se já foi atualizada para uma das versões corrigidas citadas acima. Se o responsável não souber responder, trate isso como sinal de alerta.
Segundo, se a hospedagem é compartilhada ou gerenciada, consulte o painel ou o suporte do provedor: muitos aplicam a atualização do PHP por conta própria, mas a fonte não detalha quais provedores já o fizeram. Se o servidor é seu, a atualização cabe a quem administra a máquina. A SANS acompanha as plataformas que estão lançando correções, e a Ubuntu já publicou pacotes atualizados, de acordo com o KrebsOnSecurity.
Terceiro, faça uma cópia de segurança recente do site e do banco de dados antes de qualquer mudança. Atualizações emergenciais podem tirar o site do ar ou causar incompatibilidades com plugins e temas, e a própria fonte prevê páginas de erro em vários sites. Avise a equipe e, se vender online, prepare um aviso aos clientes sobre possível instabilidade.
Sinais de problema
A fonte não lista sinais de invasão, então vale cautela: não há como afirmar o que é ou não é comprometimento só pelo que foi divulgado. Ainda assim, como o risco citado inclui instalação de web shells, peça a quem administra o site que verifique arquivos novos ou alterados que ninguém reconheça, e que revise os acessos recentes. Mudanças inesperadas no conteúdo, lentidão incomum ou alertas do provedor merecem investigação. Se o site trata dados pessoais de clientes, lembre que um incidente pode ter implicações sob a LGPD; consulte um profissional para saber se há obrigação de comunicação.
Fechamento
O ponto central é simples: não espere o problema aparecer. Descubra quem responde pelo site, peça a versão do PHP e exija a atualização para uma versão corrigida. A história ainda está em andamento, e o KrebsOnSecurity diz que vai atualizá-la, então acompanhe novas orientações.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.