Reflexões sobre as atualizações de segurança do PHP de 21 de outubro de 2026

Nossa empresa trabalha com tecnologias open source maduras que qualquer pessoa pode revisar e auditar, e nos preocupamos constantemente com a segurança e a continuidade operacional das aplicações que entregamos aos nossos clientes. No entanto, essas tecnologias estão longe de ser isentas de erros, por isso dedicamos tempo e recursos para tratar as atualizações de segurança das tecnologias que utilizamos.

Em 21 de outubro de 2026 foram publicados patches de emergência para duas vulnerabilidades críticas no PHP, correspondentes aos avisos de segurança CVE-2026-109618 e CVE-2026-109619. CVE significa “Common Vulnerabilities and Exposures” e é um catálogo de vulnerabilidades de segurança publicamente conhecidas em aplicações de software e componentes de hardware.

Tomamos conhecimento dessa informação às 11h40 de quarta-feira e imediatamente emitimos um aviso a todos os nossos clientes sobre o risco envolvido. Adotamos as seguintes medidas, em horários aproximados:

11h45 CLST / 14h45 UTC: Atualização em massa do PHP e de outras ferramentas em todos os servidores públicos que contêm informações de nossos clientes e estão sob nosso controle. Nos servidores Rocky Linux, atualizamos para PHP 8.5.12; nos servidores Ubuntu Linux, para 8.5.4-0ubuntu1.5.

12h00 CLST / 15h00 UTC: Reinício de todos os servidores públicos que contêm informações de nossos clientes e estão sob nosso controle, com uma interrupção de serviço de 15 minutos.

15h00 CLST / 18h00 UTC: Começou a análise de todos os registros das aplicações, coletados a partir dos serviços de monitoramento de que dispomos, a qual foi concluída em 30 de outubro de 2026, sem encontrar qualquer indício de problemas de segurança.

As interrupções de serviço somaram 30 minutos no total: 15 minutos pela atualização do PHP e 15 minutos pela atualização das aplicações.

As plataformas que desenvolvemos operam atrás de um Web Application Firewall que admite apenas um conjunto de dados válido para cada site, o que reduz a superfície de um ataque. No entanto, a principal proteção contra esse tipo de falha de segurança é a atualização de software, que já está aplicada em 100%. Também aplicamos atualizações de segurança nas aplicações que rodam sobre PHP, com um tempo fora do ar calculado de 15 minutos. Essa atualização é feita de forma periódica e automatizada, mas temos os meios para realizá-la manualmente e controlar os resultados.

Apenas um serviço ficou indisponível por mais tempo do que o necessário, devido às políticas próprias de retenção de informações da organização que o administra. Ainda assim, a auditoria realizada sobre esse serviço também não identificou tentativas bem-sucedidas de exploração de vulnerabilidades.

Nossa empresa segue comprometida com o desenvolvimento de produtos e serviços de excelência para nossos clientes. Para qualquer dúvida, não hesite em entrar em contato por meio de nossos canais institucionais.