Coreia do Sul recomenda atualizações do PHP após duas falhas provocarem resposta internacional de segurança

Correções emergenciais visam duas vulnerabilidades em software amplamente utilizado na web

A Agência de Internet e Segurança da Coreia do Sul (KISA) recomendou que operadores de sites atualizassem o PHP em 21 de outubro de 2026, após a identificação de duas vulnerabilidades de segurança em um software usado para operar páginas de login, serviços de compras e fóruns de discussão. Entre os riscos relatados está a possibilidade de invasores executarem código em um servidor sem fazer login.

A KISA identificou as vulnerabilidades como CVE-2026-109618, relacionada ao tratamento inadequado de condições excepcionais, e CVE-2026-109619, relacionada ao uso de memória após sua liberação. Os limites de atualização informados abrangem quatro ramos de versões do PHP: 8.2.35, 8.3.36, 8.4.27 e 8.5.12.

O Ministério da Ciência e TIC da Coreia do Sul e a KISA enviaram solicitações de segurança na noite de 21 de outubro a empresas e instituições de redes nacionais de cibersegurança. As autoridades governamentais detalharam essas medidas em 22 de outubro. A possibilidade de oferecer assistência emergencial para ajudar pequenas empresas a instalar as correções estava em análise.

As vulnerabilidades, descritas em conjunto como PHP2Shell, provocaram uma resposta internacional. Segundo relatos, algumas instituições governamentais da Holanda e da Finlândia suspenderam sites por precaução, enquanto autoridades de cibersegurança na Europa, no Japão e na Austrália recomendaram atualizações. Agências dos EUA também teriam aconselhado tirar do ar os sistemas afetados quando não fosse possível aplicar as correções imediatamente.

Quais versões do PHP precisam de atenção?

A recomendação da KISA estabelece uma versão mínima diferente para cada ramo do PHP afetado. Um ramo é uma família de versões: um site que usa PHP 8.3, por exemplo, precisa da versão corrigida dessa família ou de uma versão mais recente compatível.

• PHP 8.2: atualize versões anteriores à 8.2.35.
• PHP 8.3: atualize versões anteriores à 8.3.36.
• PHP 8.4: atualize versões anteriores à 8.4.27.
• PHP 8.5: atualize versões anteriores à 8.5.12.

A KISA também alertou que o PHP 8.1 e as versões anteriores chegaram ao fim do suporte oficial de segurança. A recomendação para operadores que usam essas versões é migrar para uma versão compatível, em vez de continuar com um software cujo período oficial de manutenção de segurança terminou.

Para o dono de uma empresa, o primeiro passo prático é descobrir qual versão do PHP está sendo executada no servidor do site. A empresa de hospedagem pode administrar esse software, ou a responsabilidade pode ser de uma equipe interna de tecnologia. Atualizar o navegador de um notebook afeta outra parte do sistema.

O que as duas falhas podem permitir

A CVE-2026-109618 diz respeito a condições excepcionais, ou seja, situações em que o software encontra algo fora de seu funcionamento normal. Os programas precisam lidar com essas situações de forma segura. Uma falha nesse tratamento pode levar o software a se comportar de maneira inesperada.

A CVE-2026-109619 é descrita como uma vulnerabilidade de uso após liberação de memória. O software reserva temporariamente áreas da memória do computador e as libera quando termina de usá-las. Esse tipo de falha ocorre quando um programa tenta usar posteriormente uma área que já foi liberada, podendo acessar dados que mudaram ou que pertencem a outra operação.

O risco relatado é a execução remota de código sem autenticação. Em termos simples, alguém de fora poderia fazer o servidor de um site executar instruções sem fornecer um nome de usuário ou senha válidos. Um ataque bem-sucedido poderia expor informações, instalar software malicioso ou interromper serviços.

Os anúncios públicos não especificaram as configurações exatas de servidor e as condições de solicitação necessárias para explorar cada vulnerabilidade. Por isso, os operadores precisam verificar se usam versões afetadas do software e buscar orientações técnicas para suas próprias instalações.

Por que o WordPress torna o problema relevante para empresas comuns

O PHP é executado no servidor do site, não no celular ou computador do visitante. Quando alguém faz uma consulta para ver o histórico de pedidos, um programa em PHP pode buscar os registros correspondentes em um banco de dados e preparar a página enviada de volta ao navegador. Sistemas de login, comentários e fóruns de mensagens podem funcionar da mesma forma.

O WordPress, que oferece ferramentas para criar e administrar sites, também funciona com PHP. Isso torna a resposta de segurança relevante para blogs, sites corporativos e lojas virtuais cujos proprietários raramente lidam diretamente com a linguagem de programação subjacente.

Dados atribuídos à W3Techs, serviço de medição de tecnologias da web, indicam que o PHP é usado por cerca de 75% dos sites cuja linguagem de programação no servidor pode ser identificada. O WordPress representa cerca de 43% de todos os sites. O número relativo ao PHP usa um grupo de medição mais restrito que o do WordPress: sites com linguagem de servidor identificável, em vez de todos os sites.

Esses números ajudam a explicar o alcance da resposta. Muitos sites administrados de forma independente dependem do mesmo software básico, de modo que uma única campanha de correção pode envolver instituições públicas, grandes empresas e pequenos negócios ao mesmo tempo.

Coreia do Sul mobiliza empresas por meio de dois canais de segurança

O Ministério da Ciência e TIC e a KISA direcionaram suas solicitações de 21 de outubro aos participantes do C-TAS, um sistema de análise e compartilhamento de informações sobre ameaças cibernéticas, e às empresas obrigadas a registrar um diretor de segurança da informação, ou CISO.

O C-TAS conta com cerca de 5.900 empresas e instituições participantes. Aproximadamente 30 mil empresas são obrigadas, pela legislação sul-coreana sobre redes de informação e comunicação, a designar um CISO e comunicar o nome ao ministério. O CISO é o principal responsável pela segurança da informação de uma organização.

Os dois números correspondem a grupos diferentes alcançados pelas medidas, embora possa haver sobreposição entre eles. O governo também usou o portal público de cibersegurança da KISA, conhecido como Boho Nara, para recomendar atualizações de segurança e instalação de correções.

Pequenas empresas enfrentam um problema prático de equipe: algumas não têm funcionários capazes de identificar uma instalação afetada, providenciar uma atualização e verificar depois se o site continua funcionando. Um representante do ministério afirmou que o governo havia distribuído orientações de segurança e estava avaliando a possibilidade de oferecer assistência emergencial para a instalação de correções. Não foram anunciadas uma data de início nem regras de elegibilidade para essa assistência.

Como a resposta se desenrolou

A sequência relatada começa com uma auditoria externa de segurança em 2024 e culmina na antecipação do lançamento das correções em outubro de 2026. As principais datas são:

• 2024: Uma auditoria externa teria identificado indícios de alguns defeitos. Divergências internas e preocupações com a compatibilidade com softwares existentes foram apontadas como motivos para que o desenvolvimento das correções não avançasse naquele momento.
• 21 de outubro de 2026: Desenvolvedores do PHP teriam lançado correções para duas vulnerabilidades, e a KISA divulgou recomendações de atualização.
• Noite de 21 de outubro: Autoridades sul-coreanas enviaram solicitações de segurança por meio de canais empresariais e institucionais.
• 22 de outubro: Autoridades sul-coreanas detalharam as medidas. Essa também era a data originalmente prevista para o lançamento das correções.

Segundo relatos, as correções foram antecipadas em um dia após o vazamento de informações sobre as vulnerabilidades. Tentativas de ataque também teriam sido detectadas antes da divulgação pública das correções, aumentando a pressão para que os operadores agissem rapidamente.

O relato sobre a auditoria de 2024 também evidencia um desafio de manutenção. Uma mudança em um software compartilhado pode afetar aplicativos desenvolvidos para seu funcionamento anterior. Preocupações com compatibilidade podem dificultar a coordenação das correções, sobretudo quando uma linguagem dá suporte a muitos sites e diferentes configurações de hospedagem.

Descoberta com IA e pesquisa independente de segurança

A empresa de cibersegurança Calif teria identificado as vulnerabilidades usando um modelo da OpenAI descrito como GPT-5.6 Sol. Os defeitos foram descritos como não detectados por mais de uma década.

A Wiz, empresa de cibersegurança afiliada ao Google, também teria encontrado e comunicado as duas vulnerabilidades de forma independente. O cofundador da Wiz, Ami Luttwak, descreveu-as como as vulnerabilidades mais graves descobertas com o uso de IA e afirmou que sua complexidade teria tornado a identificação extremamente difícil sem essa tecnologia.

A OpenAI afirmou que passou os dois meses anteriores coordenando pesquisadores e empresas de cibersegurança para apoiar a resposta. Também previu um forte aumento de descobertas semelhantes com o uso de IA nos meses seguintes.

O trabalho imediato dos operadores de sites continua sendo concreto: identificar o software instalado, aplicar a correção adequada e manter os serviços funcionando. O uso de IA na descoberta acrescenta outro elemento à história, junto com a pesquisa independente, a coordenação entre desenvolvedores e a distribuição das correções.

Por que algumas autoridades recomendaram tirar os sistemas do ar

Segundo relatos, a Agência de Segurança Nacional dos EUA recomendou que organizações que usam PHP atualizassem o software imediatamente, alertando que uma exploração poderia dar aos invasores acesso ao sistema de arquivos ou ao banco de dados de um servidor. A agência recomendou tirar do ar os sistemas afetados até que as vulnerabilidades fossem corrigidas, caso não fosse possível fazer a atualização de imediato.

O FBI teria emitido uma recomendação semelhante, alertando para a execução remota de código e a possível exposição de informações e redes sensíveis. Algumas instituições governamentais da Holanda e da Finlândia suspenderam sites como medida preventiva.

Tirar um site do ar tem um custo imediato: os visitantes perdem acesso aos serviços oferecidos. Para uma loja, isso pode significar interrupção das vendas; para uma instituição pública, indisponibilidade de informações ou formulários on-line. A recomendação reflete a gravidade de manter acessível um servidor vulnerável enquanto se aguarda uma correção.

A Cloudflare afirmou que estava atualizando medidas de proteção para acompanhar as vias de ataque. Ainda assim, os operadores de sites receberam a recomendação de instalar as correções do PHP e atualizar o software subjacente para as versões indicadas na resposta de segurança.

O que os operadores precisam fazer agora

Os operadores de sites devem identificar quem controla a instalação do PHP e comparar sua versão com os limites indicados pela KISA. Organizações que usam um provedor de hospedagem precisam pedir que ele confirme a versão do servidor e como serão feitas as atualizações. Equipes que administram os próprios servidores devem realizar a mudança diretamente.

Empresas que usam WordPress devem incluir o ambiente de execução do PHP nessa verificação, junto com a manutenção habitual do site. O PHP é uma camada de software separada, abaixo do sistema de gerenciamento de conteúdo; por isso, saber apenas a versão do WordPress não permite avaliar toda a instalação.

Operadores que usam PHP 8.1 ou versões anteriores precisam migrar para uma versão compatível. Quem já usa um dos ramos afetados precisa instalar a versão corrigida correspondente ou uma versão compatível mais recente. Testar funções essenciais, como login de clientes, consulta de pedidos e pagamentos, ajuda a identificar problemas no serviço durante a atualização.

Principais pontos

• A KISA recomendou atualizações de segurança do PHP em 21 de outubro de 2026 e identificou as vulnerabilidades CVE-2026-109618 e CVE-2026-109619.
• Os limites de atualização informados são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
• A KISA recomendou que usuários do PHP 8.1 e de versões anteriores migrem para uma versão compatível.
• Entre os riscos relatados está a execução remota de código por invasores sem necessidade de login.
• A Coreia do Sul contatou participantes de redes de segurança e empresas obrigadas a designar um CISO.
• Estava em análise a possibilidade de oferecer assistência emergencial para instalação de correções a pequenas empresas sul-coreanas.
• Autoridades internacionais recomendaram atualizações; algumas também recomendaram suspensões temporárias quando não fosse possível instalar correções imediatamente.