O Centro Canadense de Segurança Cibernética emitiu uma declaração sobre vulnerabilidades críticas no PHP Hypertext Preprocessor (PHP), a linguagem de script que executa grande parte dos sites e serviços online do mundo. A declaração, datada de 21 de outubro de 2026 e publicada em Ottawa, afirma que o Centro Cibernético está trabalhando com parceiros governamentais e com a indústria canadense para avaliar e responder às falhas.

Segundo o Centro Cibernético, que faz parte do Communications Security Establishment Canada, as vulnerabilidades poderiam, sob determinadas condições, permitir que um agente malicioso execute comandos não autorizados em sistemas afetados sem autenticação. Esse último ponto é relevante. Nenhuma credencial, nenhuma sessão, nenhum prompt de MFA a ser superado. Atualizações de segurança estão disponíveis para corrigir os problemas.

A declaração não lista identificadores CVE, pontuações de severidade ou faixas de versões afetadas. Esses detalhes constam em um alerta separado que o Centro Cibernético afirma ter emitido, contendo informações técnicas e ações recomendadas para que as organizações canadenses avaliem sua exposição. A declaração completa está disponível no site do Centro Cibernético. O Centro Cibernético também informa que está compartilhando orientações, diretrizes e informações sobre ameaças com parceiros para apoiar sua resposta.

O escopo dos afetados é amplo por definição. O PHP é a base de sistemas de gerenciamento de conteúdo, lojas de e-commerce, portais de clientes, ferramentas de intranet e uma longa cauda de aplicações internas que ninguém toca desde que a pessoa que as desenvolveu saiu da empresa. O Centro Cibernético observa que o PHP também é empacotado dentro de outros produtos, o que significa que um conjunto de appliances e softwares pode conter um interpretador vulnerável que nunca aparece em um inventário de servidores rotulado como "PHP".

O Centro Cibernético alerta que alguns sites podem ficar temporariamente indisponíveis como medida de precaução enquanto os patches são aplicados. Em termos práticos: se um serviço canadense do qual você depende ficar fora do ar por algumas horas nos próximos dias, há grande chance de que esteja sendo corrigido, não comprometido. Esse é o desfecho desejado.

O pedido central da declaração é curto e inequívoco. O Centro Cibernético recomenda que todas as organizações identifiquem prontamente os sistemas que executam PHP em toda a sua infraestrutura, priorizem os sistemas expostos à internet e apliquem as atualizações de segurança disponíveis. Também orienta as organizações a verificar atualizações junto aos seus fornecedores de software, já que uma versão corrigida do PHP não resolve nada em um produto de fornecedor que inclui sua própria cópia embarcada e precisa de sua própria correção.

Para a comunidade de IAM, a expressão "sem autenticação" é a que merece atenção. Os controles de identidade são a porta da frente. Uma vulnerabilidade de execução remota de comandos pré-autenticação equivale a alguém entrando pela parede. MFA robusto, acesso condicional e políticas rígidas de sessão ainda são importantes, mas nenhum deles tem vez quando a requisição sequer chega ao handler de login. O que ajuda é o básico: saber onde o PHP está, aplicar o patch e garantir que as contas de serviço e os segredos armazenados nesses hosts não possam ser usados como ponte para o provedor de identidade, o diretório ou o plano de controle na nuvem.

O Centro Cibernético enquadra a aplicação de patches como parte da manutenção de defesas em camadas à medida que as ameaças evoluem, o que é linguagem regulatória para "não é a primeira vez e não será a última". As organizações que já dispõem de um inventário de software preciso e de um processo de mudança emergencial testado encontrarão os próximos dias agitados, mas gerenciáveis. As que não dispõem encontrarão neles uma boa lição.

Então, o que uma equipe de identidade ou segurança deve fazer hoje, na prática? Primeiro, extrair um inventário de todos os hosts que executam PHP, incluindo appliances de fornecedores e qualquer sistema com console de administração web, e aplicar patches nos expostos à internet antes do fim do dia. Segundo, auditar o que essas camadas web podem acessar: rotacionar credenciais de banco de dados, chaves de API, contas de bind LDAP e chaves de acesso à nuvem armazenadas em arquivos de configuração em servidores PHP, confirmando que essas identidades estão com escopo mínimo necessário. Terceiro, aumentar a retenção de logs de servidores web e aplicações nos hosts afetados e verificar execuções de processos inesperados ou conexões de saída originadas da camada web. Se os três pontos já estiverem cobertos, parabéns: você é a organização que todos os outros estarão tentando imitar na próxima semana.