Duas falhas críticas no PHP, classificadas com nota 9,2 de 10 em gravidade, recebem correção oficial às 11h desta terça-feira (21), horário de Brasília. O problema: a atualização automática do WordPress não resolverá a vulnerabilidade, exigindo intervenção direta no servidor. Administradores que não agirem a tempo terão de tirar aplicações do ar para evitar invasões.
O que torna essa falha diferente das outras
As vulnerabilidades permitem execução remota de código (RCE). Na prática, um invasor assume o controle do servidor, executa comandos, altera páginas e exfiltra dados sem precisar de senha. O alcance é assustador: afetam versões desde o PHP 5, lançado há quase duas décadas.
Pesquisadores da watchTowr confirmam que a exploração é confiável e direta. A Sansec prevê uma onda de ataques em massa minutos após a publicação do patch. A Cloudflare já detectou tentativas de exploração ativa. Dane Knecht, CTO da empresa, resumiu: “Estamos vendo os primeiros ataques surgirem”.
Por que o WordPress não se atualiza sozinho
Essa é a armadilha para gestores de negócios. O WordPress alimenta mais de 40% da internet. A Wordfence alerta que todos os sites da plataforma estão expostos, pois dependem do PHP no servidor. Estima-se que mais de 1,3 milhão de servidores acessíveis publicamente sejam vulneráveis.
A correção não chega via painel do WP. Ela deve ser aplicada no runtime do PHP — responsabilidade da hospedagem ou de quem gerencia a infraestrutura. Se você usa hospedagem compartilhada, VPS gerenciado ou cloud, a ação não está nas suas mãos, mas no SLA do provedor.
Ataques já começaram: o que a Cloudflare e a Sansec viram
Enquanto o patch não sai, a superfície de exploração cresce. A Cloudflare ajustou regras de WAF temporariamente para bloquear vetores conhecidos, mas admite que a medida é paliativa. A Sansec projeta automação de ataques em escala industrial assim que o código da correção se tornar público — o que revela a lógica do “patch ou desligue”.
Autoridades de cibersegurança da União Europeia e do Reino Unido foram diretas: isole aplicações expostas à internet ou remova-as do ar até a atualização. O projeto GrapheneOS levou a sério e derrubou seu fórum oficial preventivamente.
O que fazer nas próximas horas: lista de sobrevivência
- Contate o provedor agora: exija confirmação de janela de manutenção para aplicar o pacote PHP 8.1.29, 8.2.20, 8.3.8 ou superior.
- Restrinja acesso administrativo: limite IPs no painel de hospedagem, SSH e /wp-admin; desative XML-RPC se não usa.
- Monitore canais oficiais: lista de e-mails
internals@php.nete repositório GitHub do PHP para o commit final. - Prepare rollback: tenha snapshot do servidor antes de aplicar; falhas de compatibilidade com extensões legadas são reais.
- Se não houver patch a tempo: desligue o serviço web exposto. Gina Peter Banyard, core developer do PHP, foi taxativa: “pode ser a decisão mais sensata”.
O que observar daqui para frente
A correção de hoje encerra a janela de exposição zero-day, mas não apaga rastros de quem já invadiu. Após o patch, faça varredura de integridade de arquivos, revise usuários administradores criados recentemente e analise logs de acesso anômalos nas últimas 72 horas. Para o negócio, a lição fica: depender de atualização automática de aplicação não cobre falha de runtime. Contratos de hospedagem gerenciada devem prever SLA de patch de segurança crítico em horas, não dias.
