PHP é ‘a própria web’
PHP é uma linguagem de script do lado do servidor de código aberto amplamente utilizada que sustenta sites como WordPress, que alimenta 43% da web, bem como Mailchimp, Drupal, Magento, Laravel e partes do Slack e Zoom, e muitos outros.
O impacto não se limita aos websites, observou o Centro Nacional de Segurança Cibernética dos Países Baixos (NCSC-NL) na sua descrição das falhas, apelidadas coletivamente de PHP2Shell. O PHP também está incorporado em dispositivos, dispositivos de rede, interfaces de gerenciamento e outros produtos de fornecedores onde os administradores podem não conseguir atualizar o PHP diretamente. E a CERT-EU, organização que rastreia ameaças à segurança cibernética na União Europeia, também alertou que muitos produtos comerciais e de código aberto usam PHP como tecnologia de backend, e estes também podem ser impactados pelas falhas, mesmo que não exponham diretamente uma instalação do PHP.
Isso torna as vulnerabilidades ainda mais sérias. CVE-2026-109618, que tem uma classificação de gravidade de 9,2 no sistema comum de vulnerabilidade e pontuação (CVSS), pode permitir RCE por meio de corrupção de memória durante o tratamento de falta de memória (OOM), uma estratégia que os sistemas operacionais (SOs) e aplicativos usam quando a RAM física e os espaços de troca ficam esgotados.
