{"id":69591,"date":"2026-10-22T13:45:00","date_gmt":"2026-10-22T16:45:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=69591"},"modified":"2026-10-22T13:45:00","modified_gmt":"2026-10-22T16:45:00","slug":"php-admite-falhas-de-dois-anos-e-falta-de-recursos-apos-brechas-criticas","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=69591","title":{"rendered":"PHP admite falhas de dois anos e falta de recursos ap\u00f3s brechas cr\u00edticas"},"content":{"rendered":"

A revela\u00e7\u00e3o oficial da Funda\u00e7\u00e3o PHP trouxe \u00e0 tona os bastidores turbulentos que antecederam a libera\u00e7\u00e3o das corre\u00e7\u00f5es de seguran\u00e7a. <\/b>Em comunicado detalhado<\/a> divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves j\u00e1 era conhecida por desenvolvedores desde 2024. <\/b>No entanto, o processo de reparo travou durante meses em debates internos sobre incompatibilidades t\u00e9cnicas, riscos de novas falhas e a escassez de programadores dedicados exclusivamente ao projeto.<\/p>\n\n

<\/div>\n

A organiza\u00e7\u00e3o reconheceu abertamente que a demora configurou uma falha de governan\u00e7a<\/b>. \u201cO atraso foi uma falha estrutural, causada tanto pelo processo de decis\u00e3o da equipe de seguran\u00e7a quanto pela falta de recursos\u201d, admitiu a funda\u00e7\u00e3o, em nota oficial.<\/p>\n

O cen\u00e1rio de vulnerabilidade ganhou contornos cr\u00edticos nas semanas seguintes, impulsionado por auditorias auxiliadas por intelig\u00eancia artificial (IA) e por relat\u00f3rios de empresas como Calif<\/a>, OpenAI<\/a> e Wiz<\/a>. Com o avan\u00e7o das investiga\u00e7\u00f5es, a prioridade passou a ser a reestrutura\u00e7\u00e3o da equipe de seguran\u00e7a e a ado\u00e7\u00e3o de processos mais r\u00e1pidos para aprova\u00e7\u00e3o de corre\u00e7\u00f5es.<\/b><\/p>\n\n

\n

We have posted more information about today’s security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work. #php<\/a> #security<\/a> https:\/\/t.co\/gbGTmk7yh1<\/a><\/p>\n

\u2014 The PHP Foundation (@ThePHPF) October 21, 2026<\/a><\/p><\/blockquote>\n

Apesar dos esfor\u00e7os de coordena\u00e7\u00e3o, o sigilo desmoronou dias antes do lan\u00e7amento oficial. <\/b>Nesta ter\u00e7a-feira (20), c\u00f3digos de identifica\u00e7\u00e3o circularam na internet e, horas depois, um v\u00eddeo com uma demonstra\u00e7\u00e3o pr\u00e1tica de invas\u00e3o vazou na rede. <\/b>A situa\u00e7\u00e3o atingiu o limite quando a distribuidora Chainguard publicou imagens atualizadas com as corre\u00e7\u00f5es antes do fim do prazo combinado<\/b>, o que permitiu que criminosos analisassem o c\u00f3digo bin\u00e1rio de forma antecipada.<\/p>\n

A atitude gerou forte revolta entre profissionais da tecnologia nos f\u00f3runs on-line. Em discuss\u00f5es na comunidade do Reddit<\/b><\/a>, administradores de sistemas e engenheiros criticaram severamente a quebra do acordo de confidencialidade pela distribuidora. Um usu\u00e1rio expressou indigna\u00e7\u00e3o ao relatar que precisou desligar os servidores da empresa \u00e0s pressas e ainda foi abordado por parceiros da companhia tentando vender servi\u00e7os de seguran\u00e7a, desabafo que reuniu centenas de apoios na plataforma. <\/p>\n\n

Comment<\/a>
by u\/elizabethn<\/a> from discussion <\/a>
in PHP<\/a> <\/p><\/blockquote>\n

\u201cFomos contatados por afiliados da Chainguard usando nosso formul\u00e1rio de suporte p\u00fablico, perguntando se gostar\u00edamos de agendar uma reuni\u00e3o com eles para que pudessem nos vender seus servi\u00e7os de seguran\u00e7a. Ler que eles quebraram o embargo agora e, assim, colocaram metade da internet em risco me deixa furioso. Vou garantir que nossa empresa nunca trabalhe com eles\u201d, relatou Arbaal.<\/p>\n

Para pesquisadores de seguran\u00e7a da informa\u00e7\u00e3o e desenvolvedores independentes que integram o ecossistema de c\u00f3digo aberto no Reddit<\/b>, o epis\u00f3dio funciona como um chamado urgente para que empresas e governos revejam a forma como financiam tecnologias essenciais. <\/b><\/p>\n\n

Comment<\/a>
by u\/elizabethn<\/a> from discussion <\/a>
in PHP<\/a> <\/p><\/blockquote>\n

\u201cSe cada empresa que lucra com PHP desse ao menos uma gota de apoio, a equipe teria recursos para lidar com essas quest\u00f5es de forma oportuna\u201d, pontuou um dos desenvolvedores, em manifesta\u00e7\u00e3o repercutida na comunidade t\u00e9cnica.<\/p>\n

Em sintonia, em nota oficial<\/a>, a Funda\u00e7\u00e3o PHP<\/b> destacou a urg\u00eancia do apoio financeiro estruturado:<\/p>\n

<\/p>\n

As falhas que amea\u00e7am milh\u00f5es de servidores<\/h2>\n

As vulnerabilidades que mobilizaram a comunidade de tecnologia receberam os c\u00f3digos https:\/\/www.cve.org\/CVERecord?id=CVE-2026-109618<\/b><\/a> e CVE-2026-109619<\/b><\/a>, por\u00e9m ficaram amplamente conhecidas pelo termo \u201cPHP2Shell<\/b>\u201d. Ambas afetam partes centrais e cotidianas do motor da linguagem: a gest\u00e3o de mem\u00f3ria e o tratamento de erros.<\/b><\/p>\n

A primeira brecha (CVE-2026-109618) surge de um problema em situa\u00e7\u00f5es de estouro de mem\u00f3ria. <\/b>Se uma requisi\u00e7\u00e3o atingia o limite exato de consumo estipulado pelo sistema, o PHP deixava dados internos parcialmente inicializados e depois os tratava como v\u00e1lidos, o que corrompia a mem\u00f3ria. A segunda (CVE-2026-109619) ocorria quando um erro fatal deixava o estado global apontando para espa\u00e7os de mem\u00f3ria j\u00e1 liberados <\/b>e permitia que uma requisi\u00e7\u00e3o posterior manipulasse esses dados.<\/p>\n

Na pr\u00e1tica, as falhas permitiam que invasores sem qualquer senha ou autentica\u00e7\u00e3o executassem c\u00f3digos maliciosos de forma remota em servidores vulner\u00e1veis. <\/b>Como o problema atinge o motor principal do PHP, a brecha colocou sob risco imediato uma grande parcela de sites, lojas virtuais e portais corporativos em todo o mundo.<\/p>\n

Leia sobre <\/b>o caso \u201cPHP2Shell\u201d<\/b><\/a> de maneira detalhada.<\/b> Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”A revela\u00e7\u00e3o oficial da Funda\u00e7\u00e3o PHP trouxe \u00e0 tona os bastidores turbulentos que antecederam a libera\u00e7\u00e3o das corre\u00e7\u00f5es de seguran\u00e7a. Em comunicado detalhado divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves j\u00e1 era conhecida por desenvolvedores desde 2024. No entanto, o processo de reparo travou durante meses em debates internos sobre incompatibilidades t\u00e9cnicas, riscos de novas falhas e a escassez de programadores dedicados exclusivamente ao projeto.<\/p>\n

A organiza\u00e7\u00e3o reconheceu abertamente que a demora configurou uma falha de governan\u00e7a. \u201cO atraso foi uma falha estrutural, causada tanto pelo processo de decis\u00e3o da equipe de seguran\u00e7a quanto pela falta de recursos\u201d, admitiu a funda\u00e7\u00e3o, em nota oficial.O cen\u00e1rio de vulnerabilidade ganhou contornos cr\u00edticos nas semanas seguintes, impulsionado por auditorias auxiliadas por intelig\u00eancia artificial (IA) e por relat\u00f3rios de empresas como Calif, OpenAI e Wiz. Com o avan\u00e7o das investiga\u00e7\u00f5es, a prioridade passou a ser a reestrutura\u00e7\u00e3o da equipe de seguran\u00e7a e a ado\u00e7\u00e3o de processos mais r\u00e1pidos para aprova\u00e7\u00e3o de corre\u00e7\u00f5es.We have posted more information about today’s security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work. #php #security https:\/\/t.co\/gbGTmk7yh1\u2014 The PHP Foundation (@ThePHPF) October 21, 2026 Apesar dos esfor\u00e7os de coordena\u00e7\u00e3o, o sigilo desmoronou dias antes do lan\u00e7amento oficial. Nesta ter\u00e7a-feira (20), c\u00f3digos de identifica\u00e7\u00e3o circularam na internet e, horas depois, um v\u00eddeo com uma demonstra\u00e7\u00e3o pr\u00e1tica de invas\u00e3o vazou na rede. A situa\u00e7\u00e3o atingiu o limite quando a distribuidora Chainguard publicou imagens atualizadas com as corre\u00e7\u00f5es antes do fim do prazo combinado, o que permitiu que criminosos analisassem o c\u00f3digo bin\u00e1rio de forma antecipada.A atitude gerou forte revolta entre profissionais da tecnologia nos f\u00f3runs on-line. Em discuss\u00f5es na comunidade do Reddit, administradores de sistemas e engenheiros criticaram severamente a quebra do acordo de confidencialidade pela distribuidora. Um usu\u00e1rio expressou indigna\u00e7\u00e3o ao relatar que precisou desligar os servidores da empresa \u00e0s pressas e ainda foi abordado por parceiros da companhia tentando vender servi\u00e7os de seguran\u00e7a, desabafo que reuniu centenas de apoios na plataforma. Comment by u\/elizabethn from discussion in PHP \u201cFomos contatados por afiliados da Chainguard usando nosso formul\u00e1rio de suporte p\u00fablico, perguntando se gostar\u00edamos de agendar uma reuni\u00e3o com eles para que pudessem nos vender seus servi\u00e7os de seguran\u00e7a. Ler que eles quebraram o embargo agora e, assim, colocaram metade da internet em risco me deixa furioso. Vou garantir que nossa empresa nunca trabalhe com eles\u201d, relatou Arbaal.Para pesquisadores de seguran\u00e7a da informa\u00e7\u00e3o e desenvolvedores independentes que integram o ecossistema de c\u00f3digo aberto no Reddit, o epis\u00f3dio funciona como um chamado urgente para que empresas e governos revejam a forma como financiam tecnologias essenciais. Comment by u\/elizabethn from discussion in PHP \u201cSe cada empresa que lucra com PHP desse ao menos uma gota de apoio, a equipe teria recursos para lidar com essas quest\u00f5es de forma oportuna\u201d, pontuou um dos desenvolvedores, em manifesta\u00e7\u00e3o repercutida na comunidade t\u00e9cnica.Em sintonia, em nota oficial, a Funda\u00e7\u00e3o PHP destacou a urg\u00eancia do apoio financeiro estruturado:As falhas que amea\u00e7am milh\u00f5es de servidores
\nAs vulnerabilidades que mobilizaram a comunidade de tecnologia receberam os c\u00f3digos https:\/\/www.cve.org\/CVERecord?id=CVE-2026-109618 e CVE-2026-109619, por\u00e9m ficaram amplamente conhecidas pelo termo \u201cPHP2Shell\u201d. Ambas afetam partes centrais e cotidianas do motor da linguagem: a gest\u00e3o de mem\u00f3ria e o tratamento de erros.A primeira brecha (CVE-2026-109618) surge de um problema em situa\u00e7\u00f5es de estouro de mem\u00f3ria. Se uma requisi\u00e7\u00e3o atingia o limite exato de consumo estipulado pelo sistema, o PHP deixava dados internos parcialmente inicializados e depois os tratava como v\u00e1lidos, o que corrompia a mem\u00f3ria. A segunda (CVE-2026-109619) ocorria quando um erro fatal deixava o estado global apontando para espa\u00e7os de mem\u00f3ria j\u00e1 liberados e permitia que uma requisi\u00e7\u00e3o posterior manipulasse esses dados.Na pr\u00e1tica, as falhas permitiam que invasores sem qualquer senha ou autentica\u00e7\u00e3o executassem c\u00f3digos maliciosos de forma remota em servidores vulner\u00e1veis. Como o problema atinge o motor principal do PHP, a brecha colocou sob risco imediato uma grande parcela de sites, lojas virtuais e portais corporativos em todo o mundo.Leia sobre o caso \u201cPHP2Shell\u201d de maneira detalhada. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

A revela\u00e7\u00e3o oficial da Funda\u00e7\u00e3o PHP trouxe \u00e0 tona os bastidores turbulentos que antecederam a libera\u00e7\u00e3o das corre\u00e7\u00f5es de seguran\u00e7a. Em comunicado detalhado divulgado nesta quarta-feira (21), a entidade explicou que a raiz de uma das falhas mais graves j\u00e1 era conhecida por desenvolvedores desde 2024. No entanto, o processo de reparo travou durante meses […]<\/p>\n","protected":false},"author":1,"featured_media":69592,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-69591","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69591","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=69591"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/69591\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/69592"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=69591"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=69591"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=69591"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}