A Fundação PHP, responsável pela linguagem de programação homônima, confirmou que os primeiros indícios de uma grave vulnerabilidade de segurança foram detectados em 2024 durante auditoria externa da empresa francesa Quarkslab. A falha, que provocou a retirada preventiva de sites do ar em diversos países a partir de 21 de outubro de 2026, só recebeu correção efetiva em outubro de 2026, após um atraso atribuído à falta de recursos e à sobrecarga dos poucos desenvolvedores especializados.

Em nota publicada em seu site, a fundação explicou que o trabalho de correção foi interrompido e retomado várias vezes ao longo de dois anos. Os motivos apontados foram dificuldades no processo de decisão da equipe de segurança, ausência de uma forma conhecida de exploração da falha e a sobrecarga dos poucos desenvolvedores com conhecimento profundo do PHP, que dependem de financiamento de fundações e de contribuições voluntárias.

A vulnerabilidade, identificada também por empresas de segurança como Calif, OpenAI e Wiz, permite que criminosos assumam o controle de servidores sem necessidade de login ou senha. Enquanto no Brasil a Anatel e tribunais suspenderam o acesso ao Sistema Eletrônico de Informações (SEI) por precaução, até o momento não há relatos de grandes impactos no país. Uma atualização corretiva já está disponível para quem ainda não a aplicou.

A fundação ressaltou que utiliza ferramentas de inteligência artificial, como Claude Mythos, para analisar códigos e validar relatos de falhas, mas reconheceu que a IA ainda não consegue decidir a melhor forma de estruturar correções complexas. O caso destaca a vulnerabilidade de softwares de código aberto que dependem de recursos limitados para manutenção de segurança.