Serviços do governo da Holanda, como Overheid.nl, MijnOverheid.nl e o DigiD, ficaram temporariamente fora do ar nesta quarta-feira (21) por precaução, depois da divulgação de duas falhas graves no PHP, linguagem que roda páginas e aplicativos na web, segundo a Exame. As autoridades disseram não ter sinais de exploração ativa naquele momento.
As brechas foram batizadas de PHP2Shell e têm os identificadores CVE-2026-109618 e CVE-2026-109619. Ambas receberam nota 9,2 em 10 de gravidade. Em certas condições, permitem que alguém execute código em um servidor sem precisar de autenticação.
Como a IA entrou na descoberta
De acordo com a OpenAI, a empresa Calif usou o modelo GPT-5.6 Sol para identificar uma das falhas. A Wiz encontrou e comunicou as duas de forma independente. A Exame faz uma ressalva: os casos citados são desligamentos preventivos, e não há prova de que uma IA derrubou os sites.
A PHP Foundation conhecia sinais de um problema de memória desde 2024, mas o impacto completo ainda não tinha sido demonstrado. Relatos recebidos em agosto de 2026 mostraram a possibilidade de execução remota de código, e a correção passou a ser prioridade. O lançamento estava marcado para 22 de outubro e foi antecipado depois que informações sobre as falhas circularam antes da divulgação coordenada.
Quem saiu do ar e quem já voltou
A Scaleway Webhosting removeu sites de forma preventiva enquanto aplicava os patches, e a atualização consultada pela Exame não trazia aviso de restauração completa. Na página de status da Scaleway, o BookMyName já tinha site, webmail e consulta RDAP de volta, mas o redirecionamento de endereços seguia indisponível. O addy.io desligou seus sistemas web às 8h07 (horário de Brasília): a página inicial voltou às 11h18 e o aplicativo às 11h33. A entrega de mensagens, segundo o relato, não foi afetada.
A Cloudflare afirmou ter observado tráfego de ataque e mudanças nas tentativas de contornar suas regras de bloqueio. A empresa não identificou invasões bem-sucedidas, e a Exame observa que nada indica que essas tentativas partiram de uma IA.
O que as equipes de TI precisam fazer agora
As versões corrigidas saíram em 21 de outubro: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O CERT-EU, órgão de resposta a incidentes das instituições europeias, recomenda atualização imediata. Se a organização não conseguir instalar e verificar a correção, deve considerar isolar as aplicações expostas à internet.
A correção só protege quando chega aos servidores em operação. Para quem mantém sites e sistemas em PHP, inclusive no Brasil, a checagem começa pela versão que roda em produção: nas linhas 8.2 a 8.5, qualquer build abaixo dos números acima continua exposta. Hospedagens compartilhadas dependem do provedor aplicar o patch, o que explica por que parte dos desligamentos ocorreu na camada de hospedagem.
