No dia 21 de outubro de 2026, a equipe do PHP publicou correções de emergência para duas falhas críticas que ficaram conhecidas como PHP2Shell. Como o PHP está por trás da maior parte dos sites e sistemas web, incluindo o WordPress, o alerta vale para praticamente toda empresa que tem site, loja virtual ou sistema interno rodando em servidor web.
O que aconteceu
As falhas foram registradas como CVE-2026-109618 e CVE-2026-109619 e receberam nota 9,2 de 10 na escala de gravidade CVSS v4.0. Ambas ficam no núcleo do PHP e permitem execução remota de código sem autenticação: um atacante pode rodar comandos no servidor com as permissões do processo do PHP, o que pode levar ao controle do site e até do servidor.
Quem é afetado
Segundo os alertas publicados, o problema atinge as instalações de PHP que atendem requisições web, independentemente da forma de execução (PHP-FPM, Apache com mod_php, php-cgi, LiteSpeed, entre outras). Isso inclui sites em WordPress, lojas virtuais, portais e sistemas internos desenvolvidos em PHP.
O risco é maior para quem ainda usa versões antigas. Levantamentos de empresas de segurança indicam que boa parte dos servidores na internet ainda roda versões como a 7.4, que já não recebem atualizações regulares.
As falhas já estão sendo exploradas?
Sim. A agência de cibersegurança de Singapura (CSA) relatou tentativas de exploração em larga escala nos dias seguintes à divulgação, e há ferramentas de ataque circulando. Por isso, a recomendação é tratar a atualização como urgente.
Versões com a correção
| Versão do PHP em uso | Atualizar para (ou superior) |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1, 8.0 e 7.4 | Sem suporte oficial: houve apenas correções mínimas no código-fonte. O recomendado é migrar para uma versão suportada. |
Não existe ajuste de configuração que substitua a atualização: aplicar a versão corrigida é a única proteção completa.
O que fazer agora
- Descubra a versão do PHP dos seus servidores e sites. No WordPress, ela aparece em Ferramentas → Saúde do site → Informações; no servidor, pelo comando
php -v. - Atualize para a versão corrigida do seu ramo, conforme a tabela acima. Se o site está em hospedagem compartilhada, confirme com o provedor se a atualização já foi aplicada.
- Não esqueça dos outros sistemas: além do site, verifique sistemas internos, painéis, ERPs e aplicações de fornecedores que usam PHP. Se você usa containers, reconstrua as imagens.
- Planeje a saída das versões antigas (7.4, 8.0 e 8.1). Enquanto a migração não acontece, reduza ao máximo a exposição desses sistemas à internet.
- Acompanhe os registros de acesso do servidor em busca de comportamentos estranhos nos últimos dias.
Como a Microtech pode ajudar
A equipe de cibersegurança da Microtech verifica a versão do PHP dos seus servidores e sites, aplica as atualizações com segurança, faz a migração de versões sem suporte e acompanha o ambiente para identificar tentativas de ataque. Se você não sabe se a sua empresa está exposta, fale com a gente ou conheça nossos serviços de cibersegurança.
