Na última semana, um alerta tirou o sono de quem cuida de sites no mundo inteiro: duas falhas críticas foram descobertas no PHP, a linguagem de programação que roda por trás de boa parte da internet, inclusive de todo site feito em WordPress. As falhas, apelidadas de PHP2Shell, permitem que um invasor assuma o controle do servidor sem precisar de senha nenhuma.
O assunto ganhou ainda mais repercussão porque os detalhes vazaram antes da hora, a correção precisou ser antecipada e os ataques começaram quase imediatamente. Veículos brasileiros como Olhar Digital e TechTudo trataram o caso como um alerta mundial. Neste artigo, explicamos de forma simples o que aconteceu, por que isso pode afetar o site da sua empresa e o que fazer agora.
O que aconteceu
Na manhã de 20 de outubro de 2026, uma publicação em um fórum de tecnologia anunciou que duas falhas graves no PHP estavam prestes a ser divulgadas. O post foi apagado, mas capturas de tela já circulavam nas redes sociais. A empresa de segurança watchTowr confirmou que as falhas eram reais, e a equipe do PHP decidiu antecipar a correção de emergência para 21 de outubro, um dia antes do previsto.
As falhas receberam os códigos CVE-2026-109618 e CVE-2026-109619 e nota de gravidade 9,2 em 10. Na prática, as duas podem permitir a chamada execução remota de código: alguém de fora consegue rodar comandos no servidor, alterar páginas, instalar programas maliciosos e roubar informações. Segundo o próprio projeto PHP, em servidores Apache com mod_php existe um ataque que funciona com uma única requisição, antes mesmo de o código do site ser executado.
Os ataques vieram rápido
O CEO da Cloudflare, Matthew Prince, relatou milhares de tentativas de exploração antes mesmo do anúncio oficial, centenas de milhares nas duas horas seguintes e milhões no dia seguinte. Pesquisadores da Wiz demonstraram ataques bem-sucedidos contra sites em WordPress, Drupal e Joomla, e também uma forma de extrair da memória do servidor dados como senhas, chaves de API e certificados.
Por que isso importa para tanta gente
O PHP está presente em cerca de 70% dos sites cuja tecnologia pode ser identificada, segundo dados da W3Techs citados pela imprensa. O WordPress, que roda sobre PHP, alimenta mais de 40% da internet. Ou seja: se o seu site é WordPress, ou se o seu sistema web foi feito em PHP, ele estava potencialmente exposto até que o servidor fosse atualizado.
Um detalhe importante, e que confunde muita gente: a falha não está no WordPress, e sim no PHP do servidor. O WordPress.org informou que nenhuma atualização do WordPress é necessária. Isso significa que clicar em “atualizar” no painel do site não resolve o problema. A correção precisa ser feita no servidor, por quem administra a hospedagem.
Quem precisa agir e como
A responsabilidade pela correção depende do tipo de hospedagem do seu site:
- Hospedagem compartilhada ou WordPress gerenciado: a empresa de hospedagem é quem atualiza o PHP. Mesmo assim, vale confirmar com o suporte se a atualização de segurança de 21 de outubro já foi aplicada.
- Servidor próprio, VPS ou nuvem administrada por você: este é o grupo que precisa agir imediatamente. Você ou o seu técnico precisam instalar os pacotes atualizados do PHP e reiniciar o serviço.
- Sites protegidos pela Cloudflare: a empresa ativou regras de firewall em todos os planos, inclusive no gratuito. Isso ajuda, mas é uma camada extra de proteção, não substitui a atualização.
Quais versões estão corrigidas
As versões seguras são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (ou mais novas). O PHP 8.1 e as versões anteriores não recebem mais correções oficiais. Algumas distribuições Linux e fornecedores aplicam a correção por conta própria, mas, se o seu site ainda roda em uma versão antiga, este é o momento de planejar a migração. Vale lembrar que o PHP 8.2 também chega ao fim do suporte em 31 de dezembro de 2026.
Para conferir a versão em um site WordPress, acesse Ferramentas > Saúde do site > Informação e abra a seção “Servidor”. Atenção: em alguns servidores Linux a correção é aplicada sem mudar o número da versão, então a confirmação mais segura é perguntar diretamente à hospedagem.
O que isso muda para a sua empresa
Para uma pequena ou média empresa, o site costuma ser a principal vitrine e, muitas vezes, a porta de entrada de pedidos e contatos. Um site invadido pode exibir anúncios falsos, redirecionar clientes para golpes, ser marcado como perigoso pelo Google ou simplesmente sair do ar. Diante desse caso, recomendamos um checklist prático:
- Confirme a atualização: pergunte à sua hospedagem, agência ou desenvolvedor se o PHP do seu site já recebeu a correção de 21 de outubro. Peça a resposta por escrito.
- Verifique se o site foi alterado: atualizar fecha a porta, mas não expulsa quem já entrou. Procure páginas estranhas, arquivos novos na pasta do site, usuários administradores desconhecidos e tarefas agendadas que você não criou.
- Acompanhe o Google Search Console: ele avisa quando o Google detecta problemas de segurança ou conteúdo suspeito no seu domínio.
- Tenha backups recentes e testados: não basta existir uma cópia de segurança; é preciso saber restaurá-la rapidamente.
- Revise senhas e chaves: como uma das falhas pode expor dados da memória do servidor, é prudente trocar senhas de acesso e chaves de integração (pagamento, WhatsApp, e-mail) em sistemas que ficaram expostos.
- Saia de versões sem suporte: sites e sistemas em PHP 7.x ou 8.0/8.1 ficam fora das correções oficiais e tendem a acumular riscos.
- Mantenha WordPress, temas e plugins atualizados: esta falha estava no PHP, mas a maior parte das invasões do dia a dia ainda vem de plugins desatualizados.
A lição que fica
Casos como o PHP2Shell mostram que segurança de site não é algo que se resolve uma vez na criação e se esquece. Um site saudável precisa de alguém acompanhando atualizações, monitorando sinais de invasão e com um plano de reação para quando surge um alerta como este. A diferença entre corrigir em horas ou em semanas pode ser a diferença entre um susto e um prejuízo.
Seu site está protegido?
Se você não tem certeza de quem cuida do servidor do seu site, de qual versão do PHP ele usa ou se a correção já foi aplicada, vale tirar essa dúvida agora. A JCML Soluções desenvolve sites de alta performance e sistemas web sob medida desde 2012 e pode ajudar a verificar a situação do seu site, aplicar as atualizações necessárias e planejar a manutenção para que ele continue seguro e rápido. Fale com a nossa equipe para uma avaliação sem compromisso.
Fontes
- Olhar Digital — Falha crítica no PHP ameaça milhões de sites; veja o motivo (21/10/2026)
- Portal Zumm — Falha no PHP põe sites em alerta: entenda os riscos para a sua marca (26/10/2026)
- Codeable — PHP Security Release on 21 October 2026: What WordPress Site Owners Need to Do
- Huntress — Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities
- Snyk — PHP fixes two critical unauthenticated RCE flaws