Empresas e governos aceleraram, esta quinta-feira (22), a actualização dos seus sistemas, após a divulgação de vulnerabilidades no PHP, uma linguagem de programação amplamente utilizada na Internet. A Cloudflare registou milhões de tentativas de exploração das falhas, avançou a Reuters.

Segundo o presidente executivo da Cloudflare, Matthew Prince, as tentativas passaram de milhares, antes do anúncio público, para centenas de milhares nas duas horas seguintes, atingindo posteriormente milhões.

Os responsáveis pelo PHP disponibilizaram correcções de emergência na quarta-feira (21). Entretanto, várias organizações suspenderam preventivamente serviços digitais para proteger os sistemas.

No Japão, instituições financeiras e empresas de transportes limitaram operações na Internet. A francesa Orange também restringiu o acesso a determinados sites e aplicações.

Na Finlândia, o prestador estatal de serviços informáticos Valtori começou a repor os serviços, esclarecendo que as interrupções foram preventivas e não resultaram de uma intrusão confirmada.

A recuperação poderá demorar dias ou semanas, devido à necessidade de actualizar e testar os sistemas. As organizações que utilizam versões antigas do PHP enfrentam dificuldades adicionais, podendo precisar de intervenções mais profundas para assegurar a protecção das suas plataformas.

O Que Aconteceu e Porque Continuam os Alertas?

A origem do problema está no PHP, uma linguagem de programação utilizada no funcionamento de sites e serviços digitais, incluindo plataformas como WordPress, Drupal e Joomla. As vulnerabilidades agora divulgadas encontram-se no próprio motor desta tecnologia, pelo que um site pode estar exposto mesmo sem falhas no código desenvolvido pelos seus responsáveis. Segundo a empresa de cibersegurança Wiz, a exploração destas fragilidades pode permitir o acesso a informações confidenciais ou a execução de código nos servidores sem autenticação prévia.

Os primeiros sinais do problema são anteriores à actual emergência. A PHP Foundation reconheceu que uma auditoria realizada em 2024 permitiu identificar indícios de uma das falhas. Contudo, a dificuldade em demonstrar um ataque concreto, os riscos de incompatibilidade das soluções e a escassez de recursos atrasaram a correcção. A fundação admitiu que esse atraso revelou uma falha estrutural na sua capacidade de resposta.

A investigação ganhou novo impulso em Agosto de 2026. A Calif demonstrou que era possível explorar o problema para executar código remotamente, tendo comunicado a primeira descoberta à equipa do PHP no dia 11 desse mês. O trabalho envolveu ferramentas de inteligência artificial, que ajudaram os investigadores a analisar o código e a transformar fragilidades complexas em ataques demonstráveis. A Wiz também mostrou como estas ferramentas reduzem o tempo e o conhecimento especializado necessários para adaptar ataques a diferentes sistemas.

A divulgação estava prevista para 22 de Outubro, em coordenação com a disponibilização das correcções. Porém, os identificadores das vulnerabilidades começaram a circular na Internet no dia 20. Segundo a PHP Foundation, a publicação acidental de um vídeo de demonstração pela Calif revelou depois alguns pormenores adicionais. Perante esta exposição antecipada, a equipa adiantou o lançamento das actualizações para quarta-feira, 21 de Outubro.

Seguiu-se uma corrida entre os responsáveis pela protecção dos sistemas e quem procurava explorar as falhas. A Cloudflare detectou tráfego malicioso e tentativas de contornar as suas defesas. Segundo o presidente executivo, Matthew Prince, citado pela Reuters, as tentativas passaram de milhares antes do anúncio público para centenas de milhares nas duas horas seguintes, atingindo posteriormente milhões. Estes números representam tentativas de exploração, sem significarem que tenham ocorrido milhões de intrusões bem-sucedidas.

Foi neste contexto que empresas e organismos públicos suspenderam serviços por precaução. A interrupção permite reduzir a exposição enquanto as equipas aplicam actualizações e verificam o funcionamento dos sistemas. Na Finlândia, por exemplo, o prestador estatal Valtori esclareceu que as suspensões não resultaram de uma intrusão confirmada e avisou que a reposição poderia demorar dias ou semanas.

Os alertas mantêm-se porque a publicação de uma correcção não actualiza automaticamente todos os servidores. Cada organização, ou o respectivo fornecedor de alojamento, precisa de instalar a versão corrigida do PHP. Actualizar apenas o WordPress, os seus componentes ou o conteúdo do site não resolve uma vulnerabilidade que está na tecnologia que os executa. A Cloudflare sublinha também que as suas protecções constituem uma camada adicional de defesa e não substituem a actualização.

A equipa do PHP disponibilizou versões corrigidas e considera a actualização a única solução completa. Para instalações antigas, a intervenção pode exigir a passagem para uma versão ainda suportada ou a obtenção de correcções junto do fornecedor. Até esse trabalho estar concluído, os sistemas vulneráveis que permanecem acessíveis continuam expostos.