Vídeo que nunca deveria ser publicado: vazamento colocou Internet em alerta

A Cloudflare, empresa de serviços em nuvem e cibersegurança, registrou "milhões" de ciberataques após o anúncio oficial de duas vulnerabilidades críticas na linguagem de programação PHP — que dá suporte a quase 70% das páginas da internet —, revelou o CEO e cofundador da empresa, Matthew Prince.

FMI alerta que IA, dívida pública elevada e ciberataques podem desencadear uma crise financeira global

Conforme detalhou no X, nas dez horas anteriores à divulgação pública dessas vulnerabilidades de código, "milhares de tentativas" de explorá-las já haviam sido detectadas na rede da Cloudflare. 

"Esse número saltou para dezenas de milhares nos 45 minutos seguintes ao anúncio, para centenas de milhares em duas horas e agora para milhões", observou.

Em um comunicado, a Fundação PHP admitiu que indícios de um dos erros em seu código já haviam sido observados em 2024. No entanto, o problema permaneceu teórico e nenhum "vetor concreto" foi encontrado, o que a organização posteriormente descreveu como "uma falha estrutural".

De "falha estrutural" a alerta global

A fundação explicou que, em 11 de agosto de 2026, a Calif e a OpenAI relataram independentemente a vulnerabilidade crítica, e a Wiz seguiu o exemplo em 24 de agosto com novos vetores de ataque.

No entanto, a descoberta foi mantida sob embargo para permitir tempo para o desenvolvimento de uma solução antes de ser divulgada publicamente em outubro.

'Não estamos fazendo o suficiente': Bill Gates faz previsão sombria sobre IA

O plano foi frustrado por uma série de vazamentos que começaram em 20 de outubro, quando a Calif publicou por engano um vídeo sobre como explorar a vulnerabilidade, explicando os ataques antes do anúncio oficial.

Além disso, a Chainguard quebrou o embargo seis horas antes, lançando uma correção que permitiu aos hackers estudar a vulnerabilidade.

Em resposta ao vazamento, os desenvolvedores do PHP tiveram que antecipar o anúncio oficial em um dia e lançaram quatro patches de emergência em 21 de outubro para corrigir ambas as vulnerabilidades (CVE-2026-109618 e CVE-2026-109619), que receberam uma classificação de gravidade de 9,2 em 10 na escala CVSS por permitirem a execução remota de código sem senha.

• A situação desencadeou um alerta global que levou a uma atualização massiva dos servidores, com portais governamentais em diversos países europeus e agências ao redor do mundo sendo desativados ou desconectados preventivamente.

• Da mesma forma, a Agência de Segurança Nacional dos EUA (NSA) recomendou em 21 de outubro a desconexão de sistemas que não pudessem ser atualizados imediatamente, alertando que essas falhas "frequentemente fornecem um caminho direto para o sistema de arquivos ou banco de dados do servidor".