As falhas foram identificadas como CVE-2026-109618 e CVE-2026-109619 e foram descobertas com auxílio de inteligência artificial. A detecção acelerou o alerta global porque o PHP é usado em grande escala e está por trás de plataformas como WordPress, Drupal, Joomla, Magento e PrestaShop.
A gravidade foi classificada como 9,2 em dez na escala CVSS v4.0. O CERT-EU (Centro de Resposta a Incidentes de Segurança da União Europeia) recomendou aplicar correções imediatamente ou, se isso não for possível, desconectar temporariamente servidores expostos à internet.
Governos e empresas tiraram sites do ar como medida preventiva, o que não significa necessariamente que eles tenham sido hackeados. A orientação é reduzir a janela de risco enquanto as atualizações são aplicadas.
No Brasil, a Anatel retirou do ar temporariamente o SEI (Sistema Eletrônico de Informações). Também houve relatos de instabilidades em sistemas de tribunais de justiça, como no TRF-1 (Tribunal Regional Federal da 1ª Região) e no TRF-6 (Tribunal Regional Federal da 6ª Região), com possibilidade de impacto em prazos processuais.
Como hackers podem usar a falha
Explorar a brecha pode dar acesso direto ao sistema de arquivos ou ao banco de dados do servidor. Isso abre caminho para vandalizar páginas, roubar informações e, em cenários mais graves, comprometer totalmente o ambiente.
