O PHP lançou, em 21 de outubro de 2026, correções para duas falhas críticas que permitem executar código em servidores web. As invasões podem ocorrer sem autenticação e comprometem instalações que processam solicitações pela internet. Por isso, o caso elevou o alerta entre operadores de infraestrutura e empresas do setor cripto. Executivos de segurança da Kraken e da Ledger pediram uma revisão imediata dos sistemas expostos.

O boletim de segurança identifica as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. Um dia antes das correções, o projeto publicou um alerta no X. Ambas receberam pontuação crítica de 9,2 em uma escala de 10 no CVSS v4.0. Com essa classificação, administradores devem tratar a atualização como prioridade.

Atualização protege servidores PHP expostos

As correções estão disponíveis nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 do PHP. De acordo com o projeto, qualquer instalação que processe solicitações web enfrenta risco. O maior perigo envolve o mod_php do Apache. Nesse cenário, um exploit demonstrado executa comandos antes mesmo do código da aplicação.

A CVE-2026-109618 envolve uma limpeza insegura após um erro de memória insuficiente. Já a CVE-2026-109619 decorre da reutilização de estado interno desatualizado entre solicitações. Em conjunto, as duas vulnerabilidades receberam o nome PHP2Shell. Enquanto isso, a Cloudflare detectou tráfego de ataques contra clientes e mudanças nas cargas maliciosas para contornar proteções.

Kraken alerta sobre equipamentos esquecidos

Nick Percoco, diretor de segurança da Kraken, alertou no X sobre instalações de PHP acessíveis pela internet. Como medida temporária, ele recomendou retirar sistemas expostos do ar ou protegê-los com um firewall de aplicação web. A configuração também deve bloquear o acesso direto ao servidor de origem. Por sua vez, Dane Knecht, diretor de tecnologia da Cloudflare, informou no X que as regras iniciais estavam disponíveis em todos os planos.

O projeto PHP afirma que somente a atualização elimina completamente o problema. Portanto, as medidas temporárias reduzem rotas específicas de ataque, mas não tornam uma instalação segura. Depois dos patches, Percoco recomendou procurar contas administrativas não autorizadas, arquivos PHP modificados e web shells. Entre os possíveis sinais de comprometimento, essas alterações exigem investigação imediata.

Percoco também ressaltou os riscos em roteadores, dispositivos de armazenamento em rede, firewalls, painéis de controle e appliances de fornecedores. Esses equipamentos podem incorporar componentes PHP e depender de atualizações de firmware dos fabricantes. Assim, alguns dispositivos podem nunca receber uma correção. Os alertas não relatam qualquer violação na Kraken ou na Ledger. Em paralelo, o Centro Nacional de Segurança Cibernética do Reino Unido recomendou identificar instalações de PHP e priorizar sistemas conectados à internet.

Node.js aumenta pressão sobre a infraestrutura

Para instalações antigas, a equipe do PHP disponibilizou backports mínimos de código-fonte para as versões 7.4, 8.0 e 8.1. Contudo, essas ramificações não contam com suporte oficial. Por isso, os operadores devem buscar correções retroportadas pelos fornecedores ou migrar para versões com suporte. Caso nenhuma mitigação temporária seja viável, a orientação britânica recomenda desligar o sistema vulnerável.

Em outra frente, o Node.js lançou atualizações nas versões 26.12.1, 24.22.1 e 22.23.4. Os pacotes corrigem falhas graves nas verificações de certificados TLS, no tratamento de DNS e em um decodificador Brotli. Entre os problemas, a falha no decodificador pode permitir execução remota de código. Esse risco exige atenção de serviços que usam Node.js em aplicações, APIs e infraestrutura de backend.

Como desenvolvedores usam amplamente o Node.js, a tecnologia também integra sistemas conectados a redes blockchain. Charles Guillemet, diretor de tecnologia da Ledger, destacou no X a sobreposição entre as ameaças. Na avaliação do executivo, os problemas envolvem PHP, Node.js e mecanismos de autenticação da internet. Dessa forma, as empresas precisam revisar diferentes camadas da infraestrutura ao mesmo tempo.

Certificados comprometidos afetam autenticação

Guillemet também apontou o comprometimento de oito certificados intermediários da provedora indiana de confiança digital eMudhra. Os certificados possuíam chaves privadas excepcionalmente fracas. Como resultado, invasores poderiam forjar credenciais confiáveis de sites e se passar por serviços legítimos. Nesse caso, o risco recai sobre a autenticação das conexões.

A Mozilla bloqueou os certificados afetados pelo sistema OneCRL do Firefox em 17 de outubro. Depois, a empresa lançou atualizações adicionais do navegador, conforme detalhou em seu comunicado de segurança. A Cloudflare também implantou proteções e distribuiu atualizações aos clientes. Porém, sua revisão de segurança não encontrou exploração ativa nos serviços da empresa.

O incidente afeta especialmente aplicações financeiras que dependem de conexões autenticadas com exchanges, custodiantes e provedores externos. Para a Cloudflare, o problema atingiu a autenticação, mas não comprometeu os algoritmos de criptografia TLS. Também houve recomendação para atualizar armazenamentos de confiança, dependências relevantes e imagens afetadas. Com isso, as correções de PHP, Node.js e certificados ampliam a pressão sobre as equipes responsáveis pela segurança da infraestrutura digital.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.