A revelação oficial da Fundação PHP trouxe à tona os bastidores turbulentos que antecederam a liberação das correções de segurança. Em comunicado detalhado divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves já era conhecida por desenvolvedores desde 2024. No entanto, o processo de reparo travou durante meses em debates internos sobre incompatibilidades técnicas, riscos de novas falhas e a escassez de programadores dedicados exclusivamente ao projeto.
Creative abstract PHP web design, internet programming HTML language and digital computer technology business concept: 3D render illustration of the macro view of software source code on screen monitor with selective focus effect Foto: scanrail
A organização reconheceu abertamente que a demora configurou uma falha de governança. “O atraso foi uma falha estrutural, causada tanto pelo processo de decisão da equipe de segurança quanto pela falta de recursos”, admitiu a fundação, em nota oficial.
O cenário de vulnerabilidade ganhou contornos críticos nas semanas seguintes, impulsionado por auditorias auxiliadas por inteligência artificial (IA) e por relatórios de empresas como Calif, OpenAI e Wiz. Com o avanço das investigações, a prioridade passou a ser a reestruturação da equipe de segurança e a adoção de processos mais rápidos para aprovação de correções.
Apesar dos esforços de coordenação, o sigilo desmoronou dias antes do lançamento oficial. Nesta terça-feira (20), códigos de identificação circularam na internet e, horas depois, um vídeo com uma demonstração prática de invasão vazou na rede. A situação atingiu o limite quando a distribuidora Chainguard publicou imagens atualizadas com as correções antes do fim do prazo combinado, o que permitiu que criminosos analisassem o código binário de forma antecipada.
A atitude gerou forte revolta entre profissionais da tecnologia nos fóruns on-line. Em discussões na comunidade do Reddit, administradores de sistemas e engenheiros criticaram severamente a quebra do acordo de confidencialidade pela distribuidora. Um usuário expressou indignação ao relatar que precisou desligar os servidores da empresa às pressas e ainda foi abordado por parceiros da companhia tentando vender serviços de segurança, desabafo que reuniu centenas de apoios na plataforma.
“Fomos contatados por afiliados da Chainguard usando nosso formulário de suporte público, perguntando se gostaríamos de agendar uma reunião com eles para que pudessem nos vender seus serviços de segurança. Ler que eles quebraram o embargo agora e, assim, colocaram metade da internet em risco me deixa furioso. Vou garantir que nossa empresa nunca trabalhe com eles”, relatou Arbaal.
Para pesquisadores de segurança da informação e desenvolvedores independentes que integram o ecossistema de código aberto no Reddit, o episódio funciona como um chamado urgente para que empresas e governos revejam a forma como financiam tecnologias essenciais.
“Se cada empresa que lucra com PHP desse ao menos uma gota de apoio, a equipe teria recursos para lidar com essas questões de forma oportuna”, pontuou um dos desenvolvedores, em manifestação repercutida na comunidade técnica.
Em sintonia, em nota oficial, a Fundação PHP destacou a urgência do apoio financeiro estruturado:
O PHP sustenta uma grande parte da web, incluindo serviços governamentais, lojas virtuais, bancos, sites de mídia e grande parte do software em que as empresas confiam todos os dias. No entanto, o trabalho de segurança no próprio PHP ainda depende de um pequeno grupo de desenvolvedores financiados pela fundação e de um pouco de ajuda voluntária. As empresas que constroem produtos e serviços em PHP: por favor, patrocinem a Fundação PHP em um nível que reflita o quanto vocês dependem dela
Fundação PHP
As falhas que ameaçam milhões de servidores
As vulnerabilidades que mobilizaram a comunidade de tecnologia receberam os códigos e CVE-2026-109619, porém ficaram amplamente conhecidas pelo termo “PHP2Shell”. Ambas afetam partes centrais e cotidianas do motor da linguagem: a gestão de memória e o tratamento de erros.
A primeira brecha (CVE-2026-109618) surge de um problema em situações de estouro de memória. Se uma requisição atingia o limite exato de consumo estipulado pelo sistema, o PHP deixava dados internos parcialmente inicializados e depois os tratava como válidos, o que corrompia a memória. A segunda (CVE-2026-109619) ocorria quando um erro fatal deixava o estado global apontando para espaços de memória já liberados e permitia que uma requisição posterior manipulasse esses dados.
Na prática, as falhas permitiam que invasores sem qualquer senha ou autenticação executassem códigos maliciosos de forma remota em servidores vulneráveis. Como o problema atinge o motor principal do PHP, a brecha colocou sob risco imediato uma grande parcela de sites, lojas virtuais e portais corporativos em todo o mundo.
Leia sobre o caso “PHP2Shell” de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
