Na quarta-feira, 21 de outubro de 2026, administradores de sistemas de tecnologia da informação em todo o mundo começaram a aplicar atualizações emergenciais de segurança em servidores que utilizam PHP, uma das linguagens de programação mais empregadas no desenvolvimento de aplicações para a internet.
A atualização pode afetar uma quantidade enorme de servidores, incluindo aqueles responsáveis por páginas web, sistemas de gerenciamento de conteúdo (CMS) – como WordPress, Drupal, MediaWiki, Joomla!, Magento – e gerenciamento de aprendizado (LMS) como o Moodle. Assim, ficam afetados, entre outros, sistemas de órgãos públicos, empresas privadas, seguradoras e sistemas de processamento judicial, como o e-proc.
A necessidade dessas atualizações foi anunciada pela equipe responsável pela segurança do PHP, após a identificação de duas vulnerabilidades críticas, catalogadas como CVE-2026-109618 e CVE-2026-109619. Essas falhas podem permitir que invasores executem programas remotamente nos servidores afetados, mesmo sem possuir credenciais de acesso. As falhas foram descobertas com o uso de IA. A correção exige a instalação de versões atualizadas do PHP ou de pacotes de segurança fornecidos pelos responsáveis pelos sistemas operacionais.
Entretanto, em ambientes complexos, não basta simplesmente substituir uma versão por outra. É necessário verificar a compatibilidade das aplicações, executar testes e garantir que os serviços continuem funcionando corretamente. Dependendo da complexidade dos sistemas envolvidos, esse processo pode consumir horas ou dias, eventualmente exigindo interrupções temporárias dos serviços.
Há um aspecto particularmente interessante nesse episódio. As vulnerabilidades já existiam antes de sua divulgação pública. Entretanto, não se sabe necessariamente quantos atacantes tinham conhecimento delas ou já conseguiam explorá-las. Quando uma vulnerabilidade é divulgada, pesquisadores e profissionais de segurança passam a estudá-la, mas o mesmo acontece com pessoas interessadas em utilizá-la para invadir sistemas.
Assim, a divulgação de uma falha de segurança pode desencadear uma verdadeira corrida: de um lado, os administradores tentando corrigir seus sistemas; do outro, os atacantes tentando explorar os servidores que ainda não foram atualizados.
É por isso que, em segurança da informação, algumas atualizações não podem esperar.
A situação pode ser ainda mais complicada nos servidores que utilizam versões antigas do PHP, especialmente aquelas que já não recebem atualizações oficiais de segurança. Nesses casos, pode ser necessária a migração para versões mais recentes da linguagem, uma operação que está longe de ser simples. Aplicações desenvolvidas há muitos anos podem depender de funções, bibliotecas e comportamentos que foram modificados ou eliminados nas versões atuais. A migração pode exigir alterações significativas no código dos sistemas, além de extensos testes de compatibilidade e homologação. Em determinadas situações, o trabalho pode consumir semanas ou até meses.
Uma observação importante: o fato de um CMS utilizar PHP não significa que todas as suas instalações estejam vulneráveis. Isso depende da versão do PHP, das configurações do servidor e das condições necessárias à exploração da falha.
Referências técnicas:
Um exemplo de como o problema pode escalar. Um importante site de educação matemática está inoperante, em parte porque não estava com o PHP e suas tecnologias atualizado. Agora não é só atualizar o PHP. Muito do código e mesmo da arquitetura precisará ser revisto.
Projeto de Genealogia Matemática Temporariamente Offline
Vulnerabilidade Crítica do PHP
O site do Projeto de Genealogia Matemática utiliza PHP, que em 20 de outubro de 2026 anunciou uma vulnerabilidade crítica. Esta vulnerabilidade é uma das mais graves já relatadas, e a recomendação geral é que seja prudente desativar completamente os servidores web baseados em PHP até que a vulnerabilidade seja corrigida.
Impacto no MGP
Para proteger nossos dados e infraestrutura de servidores, desativamos todas as funcionalidades baseadas em PHP do site do MGP em 21 de outubro de 2026 e publicamos esta página como medida provisória.
26 de outubro de 2026: A previsão é de que a indisponibilidade do MGP continue por mais alguns dias. A atualização para uma versão moderna do PHP também exige que atualizemos nosso código-fonte para usar uma camada de abstração de banco de dados diferente, já que a que estávamos usando não é compatível com o PHP 8.
Apoio da Comunidade Necessário
O MGP depende de doações para financiar a maior parte de suas operações. Recebemos uma modesta contribuição financeira anual da Sociedade Americana de Matemática (American Mathematical Society – AMS), bem como doações em espécie da AMS e de nossa instituição de origem, a Universidade Estadual de Dakota do Norte (North Dakota State University). No entanto, dependemos de doações da comunidade matemática para custear a maior parte de nosso orçamento operacional, que, em sua maior parte, é destinado ao pagamento de nossos gestores de dados. Atualmente, enfrentamos dois grandes desafios financeiros:
Nossa infraestrutura de back-end precisa de uma reforma profissional, que estimamos custar mais da metade de nosso orçamento operacional anual típico. Sofremos diversos ataques cibernéticos nos últimos dois anos, mas com o surgimento de agentes de IA que não estão sujeitos a ações maliciosas, precisamos auditar completamente nosso servidor para garantir uma presença online robusta nos próximos anos.
Temos um acúmulo de dados de quase um ano, o que exigirá financiamento adicional para pagar mais gestores de dados. Nossa interface de gerenciamento de dados está offline devido a essa interrupção, portanto, também não podemos trabalhar para recuperar o atraso no momento.
Se você valoriza o trabalho do MGP e está em condições de nos apoiar financeiramente, pedimos que faça uma doação online com segurança através da Universidade Estadual de Dakota do Norte. Mesmo pequenas contribuições, se feitas por um número suficiente de apoiadores do MGP, nos ajudarão a voltar aos trilhos.