Sites governamentais de toda a Europa saíram do ar nesta quarta-feira (21) enquanto equipes técnicas corriam para conter duas vulnerabilidades críticas no PHP, linguagem que sustenta cerca de 70% das páginas web identificáveis no mundo. A falha permite execução remota de código sem senha — um cenário de pesadelo para qualquer administrador de sistemas.
O alerta partiu do CERT-EU, equipe de resposta a incidentes da União Europeia, que recomendou tirar do ar qualquer servidor vulnerável que não pudesse ser corrigido imediatamente. A medida drástica expõe a gravidade do problema: nota 9,2 de 10 na escala CVSS v4.0.
Por que essa falha assusta até os grandes provedores
Diferente de bugs comuns, esta vulnerabilidade atinge o motor que move a internet. O PHP roda por trás do WordPress, base de aproximadamente 40% de todos os sites — de blogs pessoais a portais de governos, e-commerces e veículos de imprensa.
A GoDaddy, uma das maiores hospedarias do planeta, alertou para três consequências diretas: roubo de dados sensíveis, vandalismo de páginas e comprometimento total do servidor. A Cloudflare confirmou que os primeiros ataques automatizados já estão em curso.
- Nota de severidade: 9,2/10 (CVSS v4.0)
- Impacto: execução remota de código sem autenticação
- Superfície de ataque: ~70% dos sites com linguagem identificável
- Correção automática: não disponível nas atualizações padrão do WordPress
O elo fraco: pequenos negócios e hospedagem compartilhada
A maioria dos sites afetados não pertence a grandes corporações. Pequenas empresas, prefeituras, ONGs e profissionais liberais operam em hospedagem compartilhada, sem equipe de segurança e, muitas vezes, sem saber quem gerencia a versão do PHP no servidor.
O plugin de segurança Wordfence foi taxativo: as atualizações automáticas habituais não aplicarão este patch. Isso significa que o ônus recai integralmente sobre o administrador — ou sobre o provedor, que nem sempre age com a urgência necessária.
Descoberta por inteligência artificial: um marco na segurança
O mais inquietante não é apenas a falha, mas como ela foi encontrada. Pesquisadores da Calif, usando o modelo GPT-5.6 Sol da OpenAI, reportaram o primeiro problema em 11 de agosto. A Wiz, empresa da Alphabet, descobriu a segunda falha independentemente em 24 de agosto, também com auxílio de IA.
Segundo a Wiz, estão entre as vulnerabilidades mais graves já documentadas no PHP — e possivelmente na história do software. Os defeitos existiam há décadas, mas provar que eram exploráveis exigiu uma cadeia de raciocínio “no limite do que pesquisadores humanos poderiam alcançar na prática”.
O que observar nos próximos dias
O governo dos EUA anunciou coordenação com agências federais e laboratórios de IA para acelerar a distribuição do patch. Enquanto a correção não chega a todos os servidores, a orientação prática permanece: se você não tem certeza de que seu PHP foi atualizado para a versão patched, tire o site do ar. O custo da indisponibilidade temporária é infinitamente menor que o de uma invasão silenciosa.
Para quem gere ativos digitais — próprios ou de clientes —, a lição é clara: depender de atualizações automáticas em infraestrutura crítica é uma aposta perigosa. Mapear onde o PHP roda no seu parque tecnológico e ter um plano de resposta a incidentes deixa de ser “boas práticas” e vira requisito de sobrevivência.
