Uma atualização emergencial do PHP colocou administradores de sites em alerta nesta quarta-feira (21). Os responsáveis pela linguagem corrigiram duas vulnerabilidades críticas que podem permitir a invasores executar comandos em servidores pela internet, sem precisar conhecer uma senha. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 em gravidade.
Tópicos
- O que é PHP e por que tantas páginas usam essa linguagem?
- Quais são as duas falhas críticas descobertas no PHP?
- Por que essas falhas podem afetar milhões de sites?
- Sites WordPress estão em risco? Atualizar o WordPress resolve?
- Como saber se o PHP do seu site foi corrigido?
- O que fazer para proteger um site agora?
- O alerta vale para o Brasil? O que informou a Hostinger?
- Quem apenas acessa sites precisa fazer alguma coisa?
- Perguntas frequentes
- Todo site feito em PHP já foi invadido?
- Atualizar somente os plugins do WordPress resolve?
- Qual é a versão segura do PHP?
- Meu site ficou fora do ar. Foi por causa das falhas?
O problema chama atenção porque o PHP está por trás de uma enorme parcela da web, incluindo sites desenvolvidos com WordPress. O alerta, porém, não significa que todos esses endereços tenham sido invadidos: o risco depende da instalação utilizada, das correções já aplicadas e das proteções de cada ambiente. A principal recomendação é confirmar com a hospedagem se o PHP foi corrigido.
O que é PHP e por que tantas páginas usam essa linguagem?
PHP é uma linguagem de programação executada no servidor. Enquanto HTML, CSS e JavaScript ajudam a montar o que aparece na tela, o PHP pode trabalhar nos bastidores: consultar bancos de dados, processar formulários, organizar sessões de usuários e montar páginas antes de enviá-las ao navegador.
É uma das tecnologias que sustentam sistemas de gerenciamento de conteúdo como WordPress, Drupal e Joomla. Segundo a W3Techs, em 20 de outubro o PHP era usado por 69,3% dos sites cuja linguagem de servidor pôde ser identificada. O percentual não equivale à proporção de sites invadidos nem representa todos os domínios existentes na internet.
Quais são as duas falhas críticas descobertas no PHP?
O comunicado oficial do PHP, publicado em 21 de outubro de 2026, descreve duas vulnerabilidades no funcionamento interno da linguagem:
- CVE-2026-109618: envolve um erro no tratamento de falta de memória. Em determinadas condições, o servidor pode tratar informações incompletas como válidas, abrindo caminho para corrupção de memória e execução de código.
- CVE-2026-109619: envolve o reaproveitamento incorreto de informações internas entre requisições. Dados que deveriam ter sido descartados podem continuar sendo usados por outro processamento, criando outra possibilidade de exploração.
Em termos simples, essas brechas podem abrir uma porta para a execução remota de código (RCE): um invasor envia solicitações manipuladas ao servidor e, caso a exploração tenha sucesso, consegue fazer o sistema executar instruções que não deveriam ser permitidas. Não é necessário que o criminoso conheça a senha de administrador do WordPress para explorar uma instalação vulnerável.
O projeto PHP considera o risco especialmente elevado em servidores que utilizam o módulo mod_php no Apache. Outros ambientes que processam requisições com PHP, incluindo PHP-FPM, php-cgi, FrankenPHP e LiteSpeed, também fazem parte do alerta. Ter PHP instalado, por si só, não prova que houve acesso indevido.
Por que essas falhas podem afetar milhões de sites?
A preocupação é a combinação de duas características: a enorme presença do PHP na web e a possibilidade de uma exploração acontecer sem autenticação. Dependendo das permissões e da configuração de um servidor comprometido, um ataque pode resultar em alteração de páginas, instalação de código malicioso, indisponibilidade do serviço ou acesso a dados armazenados ali.
O termo “milhões de sites em risco” descreve a dimensão potencial do problema, mas não é uma contagem verificada de sites vulneráveis nem de invasões. Algumas hospedagens oferecem atualizações centralizadas ou aplicam correções do fornecedor, enquanto outras instalações dependem de manutenção manual. A situação de cada site precisa ser confirmada individualmente.
Sites WordPress estão em risco? Atualizar o WordPress resolve?
O WordPress pode ser afetado porque utiliza PHP, mas as falhas não estão no código do WordPress. Em nota oficial publicada em português, o projeto explicou que não há uma atualização do WordPress prevista especificamente para corrigir essas vulnerabilidades. A correção precisa atingir o PHP executado pelo servidor.
Assim, manter o WordPress, o tema e os plugins atualizados continua sendo uma prática importante de segurança, mas não substitui a instalação da versão corrigida do PHP. Donos de sites em hospedagem compartilhada devem consultar o provedor; quem administra VPS ou servidor próprio precisa conferir os pacotes e a distribuição utilizados.
Como saber se o PHP do seu site foi corrigido?
Quem utiliza WordPress consegue conferir qual versão está em execução diretamente no painel:
- Entre na área administrativa do WordPress do seu site.
- Abra Ferramentas > Diagnóstico.
- Acesse a aba Informações e expanda a seção Servidor.
- Procure o campo com a versão do PHP e compare com a tabela abaixo.
- Se a versão estiver abaixo da correção indicada, pergunte à hospedagem se existe um patch aplicado pelo fornecedor, mesmo que o número ainda apareça antigo.
| Versão principal | Primeira versão corrigida pelo projeto PHP |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 ou anterior | Sem nova versão oficial do projeto; migrar para linha suportada ou confirmar correção mantida pelo fornecedor |
Atenção: distribuições Linux e fornecedores de suporte prolongado podem aplicar a correção a pacotes com numeração anterior, por meio de um processo chamado backport. Portanto, a identificação do pacote e o aviso de segurança do fornecedor são mais confiáveis do que olhar somente o número da versão.
O que fazer para proteger um site agora?
- Verifique a hospedagem: procure os comunicados oficiais sobre as duas CVEs e confirme se a correção já foi distribuída no seu plano ou servidor.
- Atualize o ambiente: use uma versão corrigida do PHP ou um pacote com a correção documentada pelo fornecedor. Se administra servidor próprio, inclua imagens de contêiner e serviços que executam PHP.
- Faça um backup antes de mudanças grandes: preserve arquivos e banco de dados. Ao migrar entre versões principais, teste a compatibilidade de plugins e aplicações.
- Não confie só no firewall: regras de WAF podem ajudar na proteção temporária, mas, segundo o PHP, não há mitigação completa que substitua a atualização.
- Se não conseguir corrigir: quem administra aplicações expostas diretamente à internet deve avaliar com a equipe técnica a restrição de acesso ou suspensão temporária, conforme a gravidade do risco.
Se houver sinais de comprometimento, como arquivos desconhecidos, alterações inesperadas, redirecionamentos ou contas administrativas que ninguém criou, a equipe responsável deve investigar o servidor, preservar registros e revisar credenciais. Esses sintomas não comprovam que o incidente tenha sido causado especificamente pelas novas falhas do PHP.
O alerta vale para o Brasil? O que informou a Hostinger?
Sim. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou a Recomendação Técnica 19/2026 nesta quarta-feira. O órgão pede que organizações identifiquem aplicações que utilizam PHP, priorizem as atualizações e considerem restringir serviços expostos à internet quando não for possível corrigir imediatamente.
A Hostinger informou que, de acordo com testes realizados em seus ambientes de hospedagem gerenciada, sua plataforma não estava vulnerável aos ataques conhecidos como PHP2Shell. Mesmo assim, a empresa relatou a adoção de proteções adicionais e a distribuição das versões corrigidas. Em atualização publicada às 16h12 (horário de Brasília), disse ter concluído a etapa do Agency Hosting e estar trabalhando nos demais servidores gerenciados.
O comunicado é específico dos ambientes descritos pela empresa e não serve como garantia automática para VPS autogerenciados ou instalações de outros provedores. Para quem tem um site, a recomendação é consultar a situação do serviço contratado — sem presumir que ele foi invadido só por utilizar PHP.
Quem apenas acessa sites precisa fazer alguma coisa?
As vulnerabilidades estão nos servidores, não diretamente no celular ou no navegador do visitante. Portanto, instalar um aplicativo, trocar a senha do telefone ou limpar o cache não corrige o problema. A responsabilidade principal está com quem mantém os sites e as empresas de hospedagem.
Como precaução geral, é recomendável evitar páginas que apresentem comportamento suspeito e desconfiar de solicitações inesperadas de login ou pagamento. Caso um serviço comunique exposição de dados, as medidas devem seguir o aviso específico da empresa. O Overdrive já explicou, por exemplo, como verificar notificações em um caso de vazamento de dados e quais cuidados tomar quando uma conta é comprometida.
Perguntas frequentes
Todo site feito em PHP já foi invadido?
Não. As falhas representam um risco grave para instalações vulneráveis, mas a existência de uma brecha não é prova de invasão. Atualizações e medidas do provedor podem alterar a exposição.
Atualizar somente os plugins do WordPress resolve?
Não. A correção anunciada em 21 de outubro de 2026 é para a linguagem PHP usada pelo servidor. Atualizar temas e plugins é importante, mas não substitui essa correção.
Qual é a versão segura do PHP?
As versões corrigidas pelo projeto são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, além das futuras versões que incorporem os patches. Alguns fornecedores podem distribuir correções retroativas para outros pacotes.
Meu site ficou fora do ar. Foi por causa das falhas?
Não é possível concluir isso apenas pela indisponibilidade. Uma manutenção preventiva, um erro de hospedagem ou outros problemas técnicos também podem deixar páginas inacessíveis. Confira o status do provedor e seus registros antes de atribuir a causa.
Fontes: comunicado oficial do PHP; WordPress Brasil; CTIR Gov; Hostinger Status; W3Techs. Informações verificadas em 21 de outubro de 2026.
Comentários