[{"data":1,"prerenderedAt":328},["ShallowReactive",2],{"blog-/blog/falha-critica-php-node-outubro-2026":3,"blog-surround-/blog/falha-critica-php-node-outubro-2026":322},{"id":4,"title":5,"author":6,"body":7,"category":304,"date":305,"description":306,"draft":307,"extension":308,"image":309,"meta":310,"navigation":311,"ogImage":312,"path":313,"readingTime":314,"seo":315,"stem":316,"tags":317,"__hash__":321},"blog/blog/falha-critica-php-node-outubro-2026.md","PHP, Railway e Node.js: as falhas de segurança desta semana e o que fazer com o seu sistema","Guilherme Chaves",{"type":8,"value":9,"toc":292},"minimark",[10,14,17,22,25,28,34,37,41,44,73,76,82,86,89,92,101,105,108,111,114,117,121,124,127,132,139,142,145,149,156,160,163,202,205,213,217],[11,12,13],"p",{},"Ontem o time que mantém o PHP publicou uma correção de emergência para duas falhas que tiraram nota 9,2 numa escala de gravidade que vai até 10. Os governos dos Estados Unidos, do Canadá e do Reino Unido soltaram alertas no mesmo dia pedindo atualização imediata. Naquela mesma quarta-feira o Node.js corrigiu dez falhas de uma vez e a Railway revelou que invasores podem ter lido as chaves de acesso que os clientes guardam na plataforma de hospedagem dela, muito usada por startups.",[11,15,16],{},"Quem não programa costuma ler esse tipo de notícia como assunto da equipe de TI. Acontece que o PHP está por trás de cerca de 70% dos sites cuja tecnologia dá para identificar. Todo WordPress e toda loja WooCommerce rodam em PHP, assim como boa parte dos sistemas feitos sob medida no Brasil nos últimos quinze anos. Se o seu site ou o seu sistema interno nasceu em PHP, essa notícia é sobre você.",[18,19,21],"h2",{"id":20},"o-que-aconteceu-com-o-php","O que aconteceu com o PHP",[11,23,24],{},"Num sistema feito em PHP, o PHP é ao mesmo tempo a linguagem do código e o motor que fica no servidor respondendo a cada visita. As duas falhas estão nesse motor e independem de plugin ou de qualquer erro de quem programou o sistema. Por isso atingem praticamente toda instalação aberta para a internet por mais caprichado que seja o que foi construído em cima.",[11,26,27],{},"Na prática, alguém de fora consegue mandar uma requisição preparada e executar comandos no seu servidor sem precisar de usuário ou senha. A tela de login do seu sistema nem chega a ser carregada porque o ataque acontece antes, na camada que recebe a visita.",[29,30,31],"pull-quote",{},[11,32,33],{},"A tela de login do seu sistema nem chega a ser carregada, porque o ataque acontece antes.",[11,35,36],{},"Com esse acesso a pessoa pode ler o banco de dados inteiro com seus clientes e pedidos. Pode também trocar o conteúdo do site, instalar programas maliciosos ou usar a sua máquina para atacar outras empresas. Para a LGPD o vazamento de dados de cliente continua sendo responsabilidade sua, ainda que a falha tenha vindo do PHP.",[18,38,40],{"id":39},"por-que-dessa-vez-é-urgente","Por que dessa vez é urgente",[11,42,43],{},"Correção de segurança sai todo mês e a maioria pode esperar a próxima janela de manutenção sem drama nenhum. Esta é diferente por quatro motivos:",[45,46,47,55,61,67],"ul",{},[48,49,50,54],"li",{},[51,52,53],"strong",{},"Não exige senha."," As falhas graves costumam depender de o atacante já ter algum acesso ao sistema, e esta dispensa qualquer acesso prévio.",[48,56,57,60],{},[51,58,59],{},"Vazou antes da hora."," Os identificadores das falhas circularam na internet no dia 20 e o PHP antecipou a correção em um dia por causa disso. Quem queria atacar ficou sabendo praticamente junto com quem queria se defender.",[48,62,63,66],{},[51,64,65],{},"Já existem tentativas de ataque."," A Amazon registrou tentativas desde o dia 17, quatro dias antes de a correção existir. A Cloudflare também disse estar vendo os primeiros ataques. A agência de segurança americana ainda não tinha casos confirmados quando publicou o alerta mas pediu atualização imediata, enquanto a britânica foi além e recomendou tirar do ar o que não puder ser corrigido logo.",[48,68,69,72],{},[51,70,71],{},"A escala é enorme."," As estimativas falam em mais de um milhão de servidores expostos. Quem ataca não escolhe a vítima a dedo e simplesmente varre a internet atrás de qualquer servidor desatualizado.",[11,74,75],{},"Os pesquisadores que encontraram essas falhas contaram que usaram modelos de IA na investigação. Achar brecha em software ficou mais barato para todo mundo, inclusive para quem ataca. O tempo entre uma falha ser descoberta e alguém tentar explorá-la está encolhendo, e um sistema parado no tempo fica cada vez mais caro de manter.",[77,78,79],"blockquote",{},[11,80,81],{},"Antes dava para empurrar um sistema desatualizado por meses. Agora o prazo entre a falha aparecer e alguém tentar usar é contado em dias.",[18,83,85],{"id":84},"e-quem-está-numa-versão-antiga","E quem está numa versão antiga?",[11,87,88],{},"O PHP corrigiu apenas as versões que ainda recebem suporte. Se o seu servidor estiver na 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 ou em alguma mais nova, a correção já está lá.",[11,90,91],{},"Quem ainda roda PHP 8.1, 8.0 ou 7.4 não ganhou uma atualização pronta. O time publicou apenas um remendo em código que um técnico precisa compilar e instalar manualmente. Para o PHP 7.3 e anteriores não vai sair correção nenhuma, e isso inclui o velho PHP 5.",[11,93,94,95,100],{},"Muita empresa está exatamente nessa situação pelo motivo de sempre. O sistema foi feito há anos, funciona bem e ninguém quer mexer porque atualizar pode quebrar alguma coisa. É a ",[96,97,99],"a",{"href":98},"/blog/o-que-e-divida-tecnica","dívida técnica"," cobrando os juros todos de uma vez. Nesse cenário existem três caminhos honestos: atualizar o PHP e consertar o que quebrar, aplicar o remendo manual enquanto a atualização é planejada ou isolar o sistema da internet até resolver. Deixar como está não é um deles.",[18,102,104],{"id":103},"nodejs-e-nextjs-também-corrigiram-falhas","Node.js e Next.js também corrigiram falhas",[11,106,107],{},"O PHP ficou com a manchete, mas a semana teve outras correções importantes para quem tem produto digital.",[11,109,110],{},"O Node.js corrigiu dez falhas no dia 21 e quatro delas foram classificadas como de gravidade alta. A mais séria permite em tese executar código no servidor a partir de um arquivo comprimido malicioso, embora até agora ninguém tenha relatado ataques. As versões corrigidas são 22.23.4, 24.22.1 e 26.12.1, e quem está numa versão fora de suporte ficou sem correção.",[11,112,113],{},"Uma semana antes o Next.js, muito usado em sites e plataformas mais modernas, já tinha corrigido duas falhas críticas com nota 9,5 que também permitem executar código no servidor em certas configurações. A correção saiu no dia 14 nas versões 15.5.28 e 16.4.1.",[11,115,116],{},"Se o seu produto foi construído nos últimos anos em JavaScript, há uma boa chance de ele rodar em Node.js e talvez em Next.js. A gravidade é menor que a do PHP, mas a pergunta que você precisa fazer ao fornecedor é a mesma.",[18,118,120],{"id":119},"o-incidente-da-railway-quando-o-problema-é-a-própria-hospedagem","O incidente da Railway: quando o problema é a própria hospedagem",[11,122,123],{},"Das notícias da semana esta é a que mais me preocupa para quem tem produto digital, porque aqui não existe atualização que resolva. A Railway é uma plataforma onde muita startup sobe o sistema para não ter que cuidar de servidor. No dia 21 ela avisou que alguém sem autorização pode ter acessado as variáveis de ambiente dos clientes e conseguido ler parte delas já descriptografada.",[11,125,126],{},"Variável de ambiente é o nome técnico do lugar onde o sistema guarda as chaves que usa para conversar com o mundo. É ali que ficam a senha do banco de dados e a chave do gateway de pagamento, junto com os acessos ao serviço de e-mail, à nuvem e às APIs de inteligência artificial como OpenAI e Anthropic. Quem tem essas chaves não precisa invadir o seu sistema, porque consegue entrar pela porta da frente se passando por ele.",[29,128,129],{},[11,130,131],{},"Quem tem essas chaves não precisa invadir o seu sistema, porque consegue entrar pela porta da frente se passando por ele.",[11,133,134,135,138],{},"A Railway diz que o impacto atinge apenas uma parte dos clientes e que eles serão avisados por e-mail. Mesmo assim recomendou que ",[51,136,137],{},"todos"," troquem imediatamente as chaves guardadas lá e revisem os registros dos serviços ligados a elas. A empresa também pausou os deploys durante a investigação e na prática deixou muita gente sem conseguir publicar correção nenhuma, nem mesmo a do PHP. Segundo ela, o ataque faz parte de uma série de investidas contra plataformas desse tipo com o objetivo de chegar às contas de serviços de IA. Faz sentido, porque uma chave de IA roubada vira consumo pago por você e a fatura pode chegar antes de qualquer alerta.",[11,140,141],{},"Em abril a Vercel passou por um incidente parecido. Plataformas que guardam as chaves de milhares de empresas no mesmo lugar viraram alvo, e terceirizar a hospedagem tira de você o trabalho de manter o servidor sem tirar a responsabilidade pelo que está guardado nele.",[11,143,144],{},"Se o seu produto roda na Railway a troca de chaves precisa ser feita agora. Comece pelas mais sensíveis como banco de dados, pagamentos e IA e fique de olho na conta dos provedores de IA nos próximos dias.",[18,146,148],{"id":147},"mas-a-minha-hospedagem-não-cuida-disso","\"Mas a minha hospedagem não cuida disso?\"",[11,150,151,152,155],{},"Às vezes cuida e às vezes não, e esta semana deixou isso bem claro. A Laravel Forge é uma das ferramentas mais usadas para gerenciar servidores PHP e avisou os próprios clientes que a atualização automática de segurança dela ",[51,153,154],{},"não"," atualiza o PHP. Cada um precisa fazer isso manualmente. Várias hospedagens compartilhadas desligaram a configuração usada pelo ataque conhecido, só que o próprio PHP avisa que isso apenas reduz o risco e que a única solução completa é atualizar. Por isso a resposta que interessa quando você pergunta se o sistema está protegido é uma versão e uma data.",[18,157,159],{"id":158},"o-que-fazer-esta-semana","O que fazer esta semana",[11,161,162],{},"Resolver isso não exige entender a parte técnica. Basta fazer as perguntas certas a quem cuida do seu site ou sistema e cobrar respostas objetivas, seja agência, freelancer, time interno ou a própria hospedagem:",[164,165,166,172,178,184,190,196],"ol",{},[48,167,168,171],{},[51,169,170],{},"\"O nosso site ou sistema roda PHP? E Node.js?\""," Se ninguém souber responder com segurança, isso por si só já é um sinal de alerta.",[48,173,174,177],{},[51,175,176],{},"\"Qual versão está em produção hoje?\""," A resposta precisa ser um número como 8.3.36 e não algo vago como \"a mais recente\".",[48,179,180,183],{},[51,181,182],{},"\"Quando a correção do dia 21 foi aplicada?\""," Tem que vir uma data. Vale confirmar também que os serviços foram reiniciados depois, porque sem isso a correção não entra em vigor.",[48,185,186,189],{},[51,187,188],{},"\"Se estamos no PHP 8.1 ou anterior, qual é o plano e em quanto tempo?\""," Remendo manual, atualização ou isolamento são respostas aceitáveis e \"vamos ver\" não é.",[48,191,192,195],{},[51,193,194],{},"\"Vocês olharam os registros do servidor desde o dia 17?\""," Como houve tentativas antes de a correção existir, atualizar não desfaz uma invasão que já tenha acontecido. Uma checagem de acessos estranhos é o mínimo.",[48,197,198,201],{},[51,199,200],{},"\"Usamos a Railway? Se sim, quais chaves já foram trocadas?\""," A resposta boa é uma lista com cada chave marcada como trocada e não a promessa de que vão ver isso depois.",[11,203,204],{},"Se a resposta vier rápida e com números você tem um fornecedor atento. Se vier enrolada ou se você descobrir que ninguém está cuidando disso, vale buscar quem cuide antes que o problema apareça por conta própria.",[11,206,207,208,212],{},"Se você não sabe como está o seu sistema ou ninguém conseguiu responder essas perguntas, ",[96,209,211],{"href":210},"/#contato","peça um orçamento para a ChavesTech",". A gente avalia a sua situação e responde de forma direta com o que precisa ser feito e os próximos passos, mesmo quando a conclusão é que o sistema é antigo e vai dar trabalho. Como você fala direto com quem resolve, a decisão de como agir fica com você.",[18,214,216],{"id":215},"fontes","Fontes",[45,218,219,228,236,244,252,260,268,276,284],{},[48,220,221,227],{},[96,222,226],{"href":223,"rel":224},"https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/",[225],"nofollow","PHP2Shell: Critical PHP vulnerabilities patched, update now!",", Help Net Security, 21 de outubro de 2026",[48,229,230,235],{},[96,231,234],{"href":232,"rel":233},"https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching",[225],"Critical Vulnerabilities in PHP Require Immediate Patching",", CISA, 21 de outubro de 2026",[48,237,238,243],{},[96,239,242],{"href":240,"rel":241},"https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote",[225],"php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions",", Tenable",[48,245,246,251],{},[96,247,250],{"href":248,"rel":249},"https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619",[225],"AL26-026: Critical vulnerabilities impacting PHP",", Centro Canadense de Segurança Cibernética",[48,253,254,259],{},[96,255,258],{"href":256,"rel":257},"https://laravel.com/forge/docs/knowledge-base/php-security-release-october-2026",[225],"PHP security advisory (CVE-2026-109618, CVE-2026-109619)",", Laravel Forge",[48,261,262,267],{},[96,263,266],{"href":264,"rel":265},"https://nodejs.org/en/blog/vulnerability/october-2026-security-releases",[225],"Wednesday, October 21, 2026 Security Releases",", Node.js",[48,269,270,275],{},[96,271,274],{"href":272,"rel":273},"https://brandefense.io/security-news/next-js-node-js-security-updates-october-2026/",[225],"Next.js Security Update October 2026",", Brandefense",[48,277,278,283],{},[96,279,282],{"href":280,"rel":281},"https://blog.gitguardian.com/railway-october-2026-incident-environment-variables/",[225],"New Railway Incident: Treat Every Env Variable as Exposed",", GitGuardian, 22 de outubro de 2026",[48,285,286,291],{},[96,287,290],{"href":288,"rel":289},"https://cybersecuritynews.com/railway-security-incident/",[225],"Railway Security Incident: Hackers May Have Accessed Customer Environment Variables",", Cybersecurity News",{"title":293,"searchDepth":294,"depth":294,"links":295},"",2,[296,297,298,299,300,301,302,303],{"id":20,"depth":294,"text":21},{"id":39,"depth":294,"text":40},{"id":84,"depth":294,"text":85},{"id":103,"depth":294,"text":104},{"id":119,"depth":294,"text":120},{"id":147,"depth":294,"text":148},{"id":158,"depth":294,"text":159},{"id":215,"depth":294,"text":216},"Segurança","2026-10-22","Uma falha nota 9,2 de 10 no PHP permite invadir servidores sem senha, a Railway teve chaves de clientes expostas e o Node.js também corrigiu falhas sérias. O que isso significa para o seu negócio e o que perguntar ao seu fornecedor.",false,"md","/img/blog/falha-critica-php-node-outubro-2026.jpg",{},true,null,"/blog/falha-critica-php-node-outubro-2026",8,{"title":5,"description":306},"blog/falha-critica-php-node-outubro-2026",[318,319,320],"segurança","manutenção","fornecedor","F14ohWTB9DP_iZJXHAxrsQX4MSm_Vg9vBw5e-5JEIvY",[323,312],{"title":324,"path":325,"stem":326,"category":327,"children":-1},"Pokémon em 3D e Minecraft dentro do Elden Ring: o que a IA está fazendo com os jogos antigos","/blog/ia-mods-jogos-emuladores","blog/ia-mods-jogos-emuladores","Inteligência Artificial",1792682284446]