Cloudflare observa os primeiros ataques a vulnerabilidades críticas em PHP

A Cloudflare afirma que já estão a surgir os primeiros ataques dirigidos a duas vulnerabilidades críticas na linguagem de programação PHP, que colocam websites e servidores em risco. Dane Knecht, diretor de tecnologia da empresa, indicou que a Cloudflare está a atualizar as regras da sua firewall como medida temporária e pediu que os utilizadores atualizem assim que o PHP disponibilizar a respetiva correção, avança a Reuters.

O anúncio das falhas foi feito esta quarta-feira pela equipa do PHP, num aviso de segurança que atribui às duas vulnerabilidades uma gravidade de 9,2 na escala CVSS v4.0. Identificadas como CVE-2026-109618 e CVE-2026-109619, e conhecidas em conjunto como PHP2Shell, permitem que atacantes executem código no sistema sem necessidade de autenticação, em diferentes circunstâncias. A primeira está relacionada com a gestão de memória pelo PHP e a segunda resulta da utilização de informação interna que deveria ter sido eliminada após um pedido anterior.

As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 corrigem as falhas e as correções já estão disponíveis. Os responsáveis pelo projeto recomendam que todos os utilizadores façam a atualização o mais rapidamente possível, realçando que as versões PHP 8.1 e anteriores já não recebem atualizações diretamente do projeto. Para as organizações que não consigam atualizar de imediato, a equipa indica que existem medidas que podem reduzir a exposição, sem que estas substituam a instalação das correções.

O CERT-EU, equipa de resposta a emergências informáticas da União Europeia, e o Centro Nacional de Cibersegurança (CNCS) em Portugal já alertaram para o risco de execução remota de código sem autenticação e apelam às organizações a prepararem-se para aplicar as correções o mais rapidamente possível, considerando, caso não seja possível, o isolamento das aplicações expostas face às redes públicas.

Porque importa

A Cloudflare é uma das maiores redes de segurança e entrega de conteúdo da Internet, pelo que a observação de ataques em curso dá uma dimensão prática ao risco descrito nos avisos oficiais. Como o PHP está subjacente a websites públicos, sistemas de gestão de conteúdos e plataformas de alojamento — muitas vezes sem que isso seja evidente para a organização —, o alcance das vulnerabilidades pode ser vasto. A recomendação das autoridades e do projeto PHP é clara: aplicar as correções sem demora.