Em 21 de outubro de 2026, a equipe do PHP lançou atualizações de emergência para duas falhas críticas, apelidadas de PHP2Shell, depois que os detalhes vazaram antes do prazo. Governos e instituições da Europa chegaram a tirar sites do ar por precaução. Como o WordPress roda em PHP, quem tem um site nele precisa conferir a versão do servidor. Na maioria das hospedagens, a correção é trocar uma opção no painel.
O que aconteceu
São duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, e ambas receberam nota 9,2 de 10 (CVSS v4.0). As duas permitem execução remota de código sem login: em termos simples, alguém de fora consegue fazer o servidor rodar código, sem precisar de senha.
Segundo o Help Net Security, que cita a análise da Wiz, já existe um exploit funcional mostrando que uma única requisição pode disparar o ataque antes de o código do site começar a rodar. A Wiz também afirma que modelos de IA reduziram a barreira para transformar a falha em exploit. Os detalhes das falhas vazaram em 20 de outubro, antes da divulgação coordenada. A watchTowr diz observar tentativas ativas de exploração, e o diretor de tecnologia da Cloudflare afirmou que a empresa já detectou os primeiros ataques. Ainda não há detalhes públicos sobre vítimas nem sobre quantas tentativas deram certo.
Em resumo, a primeira falha vem do tratamento de falta de memória, e a segunda, de um estado interno que continua sendo usado depois de a memória ter sido liberada.
Por que governos tiraram sites do ar na Europa
Na quarta-feira (21), segundo a Reuters e o The Next Web, órgãos públicos europeus desligaram sites enquanto aguardavam a correção, depois de um alerta do CERT-EU, a equipe de resposta a incidentes da União Europeia. Entre os casos relatados:
- Alemanha: o provedor federal de TI ITZBund tirou vários sites do ar, em uma medida descrita como preventiva.
- Países Baixos: a agência nacional de cibersegurança e outros sites públicos, como o portal Overheid.nl, saíram do ar.
- Finlândia: o centro estatal de TI Valtori desligou serviços web públicos por precaução.
- França e Dinamarca: prefeituras e serviços municipais também foram afetados.
O NCSC, órgão de cibersegurança do Reino Unido, orientou desligar sistemas que não possam ser corrigidos com rapidez. Segundo o The Next Web, também ficaram fora do ar sites de hospitais, universidades e do Porto de Rotterdam.
Vários desses órgãos disseram ter agido por precaução e não ter observado exploração em seus sistemas. O recado vale para qualquer site: quem não consegue atualizar o PHP logo corre mais risco do que quem atualiza.
A falha é só do WordPress?
Não. O problema é do PHP, e vale para qualquer site ou sistema que rode em PHP e atenda requisições pela web: WordPress, Joomla, Drupal, Magento, Laravel, lojas virtuais, sistemas próprios e assim por diante. O WordPress aparece no título porque é, de longe, o sistema em PHP mais usado, e porque muita gente o mantém em hospedagem compartilhada, onde quem atualiza o PHP é a hospedagem.
Quais versões do PHP têm a correção
| Versão do PHP | Versão corrigida |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 e anteriores | Sem correção oficial (fim de suporte) |
A falha atinge qualquer instalação do PHP que atenda requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, LiteSpeed e FrankenPHP. As configurações com mod_php são as mais expostas.
O seu site WordPress está exposto?
Se o PHP do seu servidor está abaixo das versões da tabela, em tese sim. Um detalhe importante: o problema está no PHP do servidor, não no WordPress. Atualizar o WordPress, o tema e os plugins é uma boa prática, mas não corrige essa falha. Quem aplica a correção é a hospedagem, ou você mesmo, se o servidor é seu.
Passo a passo: o que fazer agora
- Descubra a versão do PHP. No painel do WordPress, vá em Ferramentas → Saúde do site → Informações → Servidor. Ali aparece a versão exata, como 8.3.36.
- Faça um backup completo do site e do banco de dados antes de mexer em qualquer coisa.
- Hospedagem compartilhada com cPanel: abra o Gerenciador de MultiPHP e escolha a versão do PHP do seu domínio. As versões 8.3 e 8.4 são boas opções, com suporte ativo. Evite a 8.1 e as anteriores.
- Confira se a versão mostrada já é a corrigida. A correção chega à hospedagem quando ela publica o pacote novo. Se o número ainda estiver abaixo do corrigido, pergunte ao suporte quando será atualizado. Não conte com as atualizações automáticas: segundo o Wordfence, citado pela Reuters, elas não instalam essa correção. Alguns fornecedores aplicam correções em versões antigas sem mudar o número, então vale perguntar antes de se preocupar.
- VPS ou servidor próprio: atualize os pacotes do PHP e reinicie o PHP-FPM. Processos de longa duração, como filas e workers, também precisam ser reiniciados para usar a versão nova.
- Teste o site depois da troca. Navegue pela home, por alguns artigos e pelo painel do WordPress. Se algo quebrar, volte à versão anterior e veja qual plugin ou tema reclama.
- Considere uma camada extra de proteção. A Cloudflare publicou regras de WAF para os vetores conhecidos, disponíveis para todos os clientes, inclusive no plano gratuito. Elas ajudam, mas não substituem a atualização.
E se o meu PHP é 8.1 ou mais antigo?
Essas versões não recebem correção oficial. O caminho é migrar para uma versão com suporte, como a 8.3 ou a 8.4, e testar os plugins antes. A equipe de segurança do PHP publicou correções mínimas de código-fonte para a 7.4, a 8.0 e a 8.1, mas elas servem para quem compila o PHP por conta própria. Alguns fornecedores de suporte estendido também oferecem a correção para versões antigas.
O NCSC, órgão de segurança do Reino Unido, recomenda considerar desconectar sistemas que não possam ser corrigidos com rapidez.
Cuidados que valem sempre
- Mantenha o WordPress, o tema e os plugins atualizados e remova o que não usa.
- Desconfie de plugins que você não instalou, de usuários administradores desconhecidos e de arquivos
.phpestranhos na pasta de uploads. - Guarde backups fora do servidor e teste a restauração de vez em quando.
Perguntas frequentes
O que é o PHP2Shell?
É o nome dado a duas falhas críticas do PHP, CVE-2026-109618 e CVE-2026-109619, que permitem executar código no servidor sem autenticação. Foram corrigidas em 21 de outubro de 2026.
Meu site WordPress foi invadido?
Não dá para saber só pela versão do PHP. Há relatos de tentativas de ataque, e por isso a recomendação é atualizar o quanto antes. A watchTowr orienta preservar logs e arquivos suspeitos antes de alterar qualquer coisa e procurar web shells, tarefas agendadas (cron) inesperadas e contas novas ligadas ao PHP. Se achar algo estranho, fale com o suporte da hospedagem.
A falha afeta só o WordPress?
Não. Ela afeta qualquer site ou sistema que rode em PHP e atenda requisições web, como Joomla, Drupal, Magento, Laravel ou sistemas feitos sob medida.
Atualizar os plugins do WordPress resolve?
Não. A falha está no PHP do servidor. É preciso que o PHP seja atualizado para uma versão corrigida.
Preciso migrar para o PHP 8.4 ou 8.5?
Não necessariamente. Qualquer versão corrigida serve: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. As mais novas têm suporte por mais tempo.
Como saber se a minha hospedagem já corrigiu?
Veja a versão em Ferramentas → Saúde do site → Informações → Servidor e compare com a tabela. Se estiver abaixo e você não tiver certeza, abra um chamado no suporte da hospedagem.
Atualizado em 21 de outubro de 2026. As informações seguem os comunicados e as análises publicados na data; versões e prazos das hospedagens podem mudar.
Imagem: composição ilustrativa com fundo gerado por IA e o logotipo do PHP, de Colin Viebrock, licença CC BY-SA 4.0. Imagem adaptada pelo GeekTech.
Fontes
- Help Net Security: PHP2Shell, vulnerabilidades críticas do PHP corrigidas (CVE-2026-109618 e CVE-2026-109619)
- Laravel Forge: aviso de segurança do PHP, com versões afetadas e corrigidas
- Terra (Reuters): O que é o PHP e por que sites de governo saíram do ar na Europa
- The Next Web: governos europeus tiram sites do ar por causa de duas falhas críticas no PHP
- watchTowr: PHP2Shell, execução remota de código no PHP
- CISO Advisor: PHP alerta para duas falhas críticas e correções emergenciais
