Falhas críticas no PHP expõem milhões de sites; atualize servidores agora

Duas falhas no PHP permitem execução remota de código e alarmaram administradores; patches já foram liberados. Especialistas pedem atualização imediata em servidores e sites WordPress.

Duas falhas críticas no PHP colocaram milhões de sites em alerta nesta semana. As vulnerabilidades, divulgadas na quarta-feira (21), permitem que hackers executem códigos maliciosos em servidores sob determinadas condições e já eram alvo de tentativas de exploração antes mesmo da divulgação das correções.

O episódio chamou a atenção para uma linguagem de programação presente em boa parte da internet. Segundo dados do W3Techs, quase 70% dos sites cuja linguagem de servidor é conhecida utilizam PHP, incluindo serviços bastante famosos. Parte dessa presença se explica pelo WordPress, sistema de gerenciamento de conteúdo desenvolvido em PHP e usado por grandes portais para publicar notícias, imagens e outros materiais.

Vale destacar que utilizar PHP não significa que um site esteja vulnerável às falhas descobertas recentemente. A exposição depende de fatores como a versão instalada, as configurações dos servidores e as medidas de segurança adotadas pela equipe técnica.

Para administradores de sites e quem mantém páginas em Sergipe e no país, a recomendação é revisar versões do PHP, aplicar patches e atualizar plugins e temas do WordPress assim que as correções oficiais estiverem disponíveis. Backups regulares e verificações de integridade também são medidas prudentes enquanto a comunidade de segurança monitora tentativas de exploração.

Sites e serviços famosos que utilizam PHP

• Wikipédia — A maior enciclopédia online do mundo utiliza o MediaWiki, software de código aberto desenvolvido principalmente em PHP para administrar artigos, edições e páginas. Segundo a documentação oficial do projeto, os servidores de produção da Wikimedia utilizam o PHP 8.3. A linguagem é necessária para executar o MediaWiki, que também é utilizado por outros projetos da fundação.
• NASA — Até a agência espacial dos Estados Unidos utiliza PHP. Os portais NASA.gov e Science.nasa.gov foram construídos com WordPress, segundo a documentação oficial da plataforma. O sistema permite administrar arquivos de imagens, notícias, informações sobre missões espaciais e conteúdos científicos publicados pela agência.
• Flickr — A plataforma de armazenamento e compartilhamento de fotografias possui histórico documentado de utilização do PHP em seus sistemas. Em novembro de 2024, um estudo técnico publicado pela AWS, em parceria com a SmugMug, citou o uso de código PHP nas aplicações das plataformas. Não há confirmação pública recente de que toda essa infraestrutura permaneça inalterada.
• TIME — A revista norte-americana utiliza WordPress para gerenciar seu portal de notícias e reportagens. O site está listado no catálogo oficial do WordPress desde 2014, e verificações técnicas realizadas em 2026 continuam identificando a utilização da plataforma.
• Taylor Swift — O site oficial da cantora depende de PHP por utilizar WordPress. A página foi incluída no catálogo de projetos da plataforma em julho de 2026. Por meio do sistema, a equipe administra conteúdos sobre lançamentos musicais, turnês, notícias e outras informações destinadas aos fãs.
• Casa Branca — O site oficial da Casa Branca utiliza WordPress desde 2017. Segundo a documentação da plataforma, o WhiteHouse.gov opera com WordPress VIP, versão voltada para organizações de grande porte. O sistema é utilizado para publicar comunicados, ações presidenciais, notícias e informações oficiais do governo norte-americano.
• CNN Brasil — O portal brasileiro de notícias também utiliza WordPress VIP, conforme um estudo de caso publicado pela própria plataforma. A emissora migrou seu site para o sistema buscando melhorar a estabilidade e o gerenciamento das publicações. Como o WordPress depende de PHP, a linguagem faz parte da infraestrutura utilizada pelo portal.

O episódio reforça que a presença do PHP em grandes sites não é, por si só, um sinal de fragilidade, mas que a adoção de boas práticas de manutenção e a rápida aplicação de atualizações são cruciais para reduzir riscos. Equipes técnicas e provedores de hospedagem seguem como principais responsáveis por avaliar exposição e mitigar eventuais ataques.

Gostou? Compartilhe com quem precisa saber: