Há duas semanas o PHP sofreu um dos maiores incidentes de segurança da sua história, expondo milhares de sites a vulnerabilidades críticas. Enquanto desenvolvedores ativos atualizaram rapidamente, muitos projetos ainda rodando versões inferiores à 8.2 permaneceram vulneráveis, gerando preocupação sobre o que acontecerá nos próximos meses.
A política oficial do PHP consiste em lançar correções de segurança apenas para versões recentes. Como consequência, versões mais antigas, como 8.1, 8.0 e 7.4, ficaram sem suporte oficial, deixando-os expostos. Foi nesse cenário que Ondřej Surý, mantenedor dos pacotes Debian/Ubuntu, realizou backports das correções para essas versões não suportadas, permitindo que sites desatualizados recebessem os patches.
O esforço de backport foi rápido e cobre as versões
- PHP 8.1
- PHP 8.0
- PHP 7.4
Mesmo que a Fundação PHP ofereça suporte oficial por até quatro anos, a prática de confiar em backports pontuais não resolve o problema estrutural: projetos precisam ser migrados para versões ativas antes que novas vulnerabilidades apareçam. Caso contrário, o próximo incidente crítico pode deixar milhares de sites desprotegidos novamente.
Just update. Just do it.
Portanto, a recomendação é clara: planeje a atualização para uma versão suportada (PHP 8.2 ou superior), automatize a migração via ferramentas como Composer e CI/CD, e evite depender de correções retroativas. Enquanto isso, quem ainda permanecer em versões antigas deve aplicar os backports disponíveis e monitorar alertas de segurança.
Fonte: Stitcher.io
