Na quarta-feira, 21 de outubro, o PHP publicou duas corre\u00e7\u00f5es emergenciais para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, que permitem execu\u00e7\u00e3o remota de c\u00f3digo em servidores com WordPress, MediaWiki, Magento, Joomla, Laravel e Drupal. A orienta\u00e7\u00e3o \u00e9 atualizar imediatamente as releases da linha 8.x. Para quem responde pelo risco da organiza\u00e7\u00e3o, a pergunta mais importante \u00e9 quanto tempo a empresa leva para descobrir onde essas aplica\u00e7\u00f5es est\u00e3o e corrigi-las antes que algu\u00e9m as explore.<\/p>\n\n\n\n
O PHP sustenta uma parte grande das aplica\u00e7\u00f5es web corporativas, e muitas vezes isso acontece fora do radar da \u00e1rea de seguran\u00e7a. O site institucional mantido por uma ag\u00eancia roda em WordPress, a loja virtual foi constru\u00edda em Magento, a base de conhecimento interna usa MediaWiki e a API de um fornecedor foi desenvolvida em Laravel. Cada uma dessas aplica\u00e7\u00f5es tem um respons\u00e1vel diferente, um ciclo de atualiza\u00e7\u00e3o diferente e, em muitos casos, nenhum registro centralizado que indique a vers\u00e3o do PHP em uso.<\/p>\n\n\n\n
Quando a vulnerabilidade permite execu\u00e7\u00e3o remota de c\u00f3digo, o atacante passa a executar comandos no servidor com as permiss\u00f5es da aplica\u00e7\u00e3o, o que abre caminho para bancos de dados, credenciais armazenadas e outros sistemas da mesma rede. As corre\u00e7\u00f5es foram liberadas \u00e0s 11h no hor\u00e1rio de Bras\u00edlia, e a partir desse momento a pr\u00f3pria corre\u00e7\u00e3o p\u00fablica passa a indicar aos atacantes onde procurar, o que torna o intervalo entre a divulga\u00e7\u00e3o e a explora\u00e7\u00e3o cada vez mais curto.<\/p>\n\n\n\n
Uma pesquisa divulgada pelo The Register avaliou dez modelos de IA em 16.980 testes realizados entre outubro de 2025 e setembro de 2026, com 576 ataques simulados contra sistemas industriais. Os tr\u00eas modelos com melhor desempenho elaboraram planos de ataque vi\u00e1veis em cerca de 90% das tentativas de planejamento, e os pesquisadores afirmam que a tecnologia j\u00e1 permite desenvolver em dias ferramentas que antes levariam meses de trabalho.<\/p>\n\n\n\n
Os mesmos pesquisadores ressaltam que os modelos ainda cometem erros e que o julgamento humano continua sendo necess\u00e1rio, e esse ponto merece aten\u00e7\u00e3o para que a an\u00e1lise n\u00e3o caia no alarmismo. Ainda assim, a consequ\u00eancia pr\u00e1tica para quem gerencia risco \u00e9 clara, porque o n\u00famero de pessoas capazes de transformar uma CVE rec\u00e9m-publicada em um ataque funcional tende a crescer, enquanto o prazo que a empresa tem para corrigir tende a diminuir.<\/p>\n\n\n\n
Um relat\u00f3rio de pentest descreve o ambiente no per\u00edodo em que o teste foi feito. Uma aplica\u00e7\u00e3o avaliada em mar\u00e7o e aprovada sem achados cr\u00edticos pode estar exposta em outubro por causa de uma depend\u00eancia que ningu\u00e9m da equipe controla diretamente, como aconteceu agora com o PHP. O mesmo vale para mudan\u00e7as internas, j\u00e1 que uma migra\u00e7\u00e3o de infraestrutura, uma nova integra\u00e7\u00e3o ou a troca de um fornecedor alteram a arquitetura testada e reduzem a utilidade do relat\u00f3rio em poucas semanas.<\/p>\n\n\n\n
O risco aumenta quando o pentest \u00e9 mal executado. Uma varredura automatizada entregue com selo de pentest gera um PDF com centenas de itens sem prioriza\u00e7\u00e3o e sem contexto de neg\u00f3cio, e o conselho recebe a informa\u00e7\u00e3o de que a empresa foi testada, o que cria uma sensa\u00e7\u00e3o de cobertura que n\u00e3o corresponde \u00e0 realidade. No dia em que surge uma falha como a do PHP, esse documento n\u00e3o ajuda a responder onde est\u00e1 a exposi\u00e7\u00e3o, quem \u00e9 o respons\u00e1vel pela corre\u00e7\u00e3o e qual \u00e9 o impacto se nada for feito.<\/p>\n\n\n\n
A mesma vulnerabilidade tem pesos diferentes conforme o ativo que ela coloca em risco. Para um banco, uma execu\u00e7\u00e3o remota de c\u00f3digo em uma aplica\u00e7\u00e3o web pode afetar a integridade de transa\u00e7\u00f5es e o dinheiro de clientes. Para uma institui\u00e7\u00e3o de ensino, o impacto principal recai sobre a reputa\u00e7\u00e3o e sobre os dados de alunos, que sustentam a confian\u00e7a das fam\u00edlias e a capta\u00e7\u00e3o de novas matr\u00edculas. Para um varejista que opera em Magento, o que est\u00e1 em jogo s\u00e3o os dados de pagamento e a continuidade das vendas.<\/p>\n\n\n\n
Por isso, a conversa com o conselho precisa partir de quatro respostas objetivas, que s\u00e3o onde a empresa est\u00e1 exposta, qual ativo de neg\u00f3cio est\u00e1 em risco, quanto custa corrigir em compara\u00e7\u00e3o com o custo de um incidente e em quanto tempo a corre\u00e7\u00e3o pode ser conclu\u00edda. Sem essas respostas, o CISO pede or\u00e7amento com base em urg\u00eancia t\u00e9cnica e o conselho decide sem conseguir avaliar o retorno.<\/p>\n\n\n\n
Foi para responder a essas perguntas que estruturamos o DevSecureHub na Ivy. O servi\u00e7o combina pentest manual cont\u00ednuo, com alvos definidos pelo cliente conforme o ambiente muda, e uma plataforma que acompanha cada vulnerabilidade desde a identifica\u00e7\u00e3o at\u00e9 a corre\u00e7\u00e3o, com respons\u00e1veis, status e hist\u00f3rico vis\u00edveis para a equipe t\u00e9cnica e para a lideran\u00e7a.<\/p>\n\n\n\n
Os achados passam pela curadoria dos nossos especialistas, que t\u00eam certifica\u00e7\u00f5es como OSCE3, OSWE, OSEP e OSCP, e por isso o time de desenvolvimento recebe uma fila priorizada em vez de uma lista extensa de itens sem contexto. A plataforma traduz cada vulnerabilidade em um problema de neg\u00f3cio, como a possibilidade de multa da LGPD a partir de uma inje\u00e7\u00e3o de SQL, e calcula o retorno sobre o investimento em seguran\u00e7a com base nos estudos da IBM sobre custo de vazamentos, ajustados \u00e0 realidade de cada empresa.<\/p>\n\n\n\n
O servi\u00e7o inclui ainda um Security Champion, que orienta o time de desenvolvimento na corre\u00e7\u00e3o sem assumir o c\u00f3digo, a modelagem de amea\u00e7as da arquitetura e trilhas de treinamento geradas a partir das falhas mais recorrentes no pr\u00f3prio ambiente do cliente. Quando uma CVE cr\u00edtica como a do PHP \u00e9 publicada, a empresa j\u00e1 sabe quais aplica\u00e7\u00f5es s\u00e3o afetadas, quem responde por elas e qual delas deve ser corrigida primeiro, e o CISO chega \u00e0 reuni\u00e3o com o conselho com n\u00fameros que sustentam a decis\u00e3o.<\/p>\n\n\n\n
Falhas como as do PHP v\u00e3o continuar surgindo, e o uso de IA por atacantes deve reduzir ainda mais o prazo entre a divulga\u00e7\u00e3o e a explora\u00e7\u00e3o. As organiza\u00e7\u00f5es que conseguem medir o tempo entre a publica\u00e7\u00e3o de uma CVE e a corre\u00e7\u00e3o em produ\u00e7\u00e3o, e associar esse tempo ao valor dos ativos protegidos, passam a tratar seguran\u00e7a como um crit\u00e9rio de decis\u00e3o do neg\u00f3cio e conseguem defender cada investimento com dados.<\/p>\n\n\n\n
Converse com os especialistas da Ivy e veja como o DevSecureHub pode reduzir esse tempo no seu ambiente.<\/p>\n","protected":false},"excerpt":{"rendered":"
Na quarta-feira, 21 de outubro, o PHP publicou duas corre\u00e7\u00f5es emergenciais para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, que permitem execu\u00e7\u00e3o remota de c\u00f3digo em servidores com WordPress, MediaWiki, Magento, Joomla, Laravel e Drupal. A orienta\u00e7\u00e3o \u00e9 atualizar imediatamente as releases da linha 8.x. Para quem responde pelo risco da organiza\u00e7\u00e3o, a pergunta mais importante \u00e9 quanto tempo a empresa leva para descobrir onde essas aplica\u00e7\u00f5es est\u00e3o e corrigi-las antes que algu\u00e9m as explore. Por que uma falha no PHP atinge tantas empresas ao mesmo tempo? O PHP sustenta uma parte grande das aplica\u00e7\u00f5es web corporativas, e muitas vezes isso acontece<\/p>\n","protected":false},"author":8,"featured_media":2089,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1,51,53],"tags":[90,81,119,82],"class_list":["post-2088","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","category-ciber","category-tecnologia","tag-ciberseguranca","tag-governanca","tag-ia","tag-tecnologia"],"_links":{"self":[{"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/posts\/2088","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/comments?post=2088"}],"version-history":[{"count":1,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/posts\/2088\/revisions"}],"predecessor-version":[{"id":2090,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/posts\/2088\/revisions\/2090"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/media\/2089"}],"wp:attachment":[{"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/media?parent=2088"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/categories?post=2088"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/news.ivy.com.br\/index.php\/wp-json\/wp\/v2\/tags?post=2088"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}