Falha crítica no PHP expõe atraso de dois anos

A PHP Foundation reconheceu que os primeiros sinais de uma falha crítica de segurança apareceram em 2024, dois anos antes da publicação das correções. O problema integra um conjunto de vulnerabilidades capaz de permitir execução remota de código em servidores afetados.

O g1 relatou nesta sexta-feira (23) a admissão da entidade e o impacto preventivo sobre sites que saíram do ar. Em comunicado técnico próprio, a PHP Foundation confirmou a cronologia, descreveu as falhas e classificou o atraso como uma deficiência estrutural de seu processo de segurança.

Falhas atingem núcleo da linguagem

Uma das vulnerabilidades envolve o tratamento de memória quando o sistema fica sem recursos. A outra pode deixar um estado interno apontando para uma área de memória já liberada, situação que pesquisadores conseguiram associar à execução de comandos em uma aplicação real.

Os dois problemas afetam rotinas centrais de gerenciamento de memória e de erros, usadas por grande parte das requisições processadas pela linguagem. Essa posição no núcleo tornou as falhas graves e, ao mesmo tempo, aumentou o risco de uma correção quebrar compatibilidade ou prejudicar o desempenho.

A fundação informou que uma auditoria externa realizada em 2024 encontrou os primeiros indícios do problema de memória. Naquele momento, havia uma hipótese de exploração, mas ainda não existia um caminho concreto demonstrado para controlar um servidor à distância.

Equipes de segurança avaliaram soluções diferentes, com efeitos colaterais importantes. Algumas opções exigiriam mudanças em extensões de terceiros; outras poderiam criar negação de serviço ou incompatibilidades. Sem consenso e com poucos especialistas disponíveis, o trabalho parou e recomeçou várias vezes.

Fundação muda processo de segurança

O risco ganhou prioridade máxima em agosto de 2026, quando pesquisadores demonstraram formas práticas de exploração. Relatos independentes ajudaram a confirmar o alcance do problema e levaram desenvolvedores, fornecedores e distribuidores a coordenar a atualização das versões suportadas.

A PHP Foundation publicou as correções em 21 de outubro e recomendou atualização imediata. Administradores que não conseguem aplicar os pacotes precisam avaliar a exposição dos serviços, limitar acessos e seguir as orientações de seus provedores até que os sistemas estejam protegidos.

Para evitar nova demora, a entidade criou uma equipe dedicada à segurança do ecossistema, contratou profissionais para triagem e reforço do código e iniciou a substituição da exigência de consenso por decisões majoritárias. A fundação também pediu financiamento proporcional às empresas e instituições que dependem da linguagem.

O episódio mostra que encontrar uma falha e corrigi-la são etapas diferentes. Ferramentas de inteligência artificial aceleraram a validação dos riscos, mas cada relatório ainda exigiu análise humana. A resposta duradoura dependerá de equipes estáveis, manutenção contínua e aplicação rápida das atualizações por quem administra servidores.