Duas falhas críticas no PHP provocaram uma corrida mundial por atualizações depois que empresas de segurança registraram milhões de tentativas de exploração. Os erros permitem, em determinadas configurações, executar código em servidores sem autenticação.
Os responsáveis pelo PHP afirmam que atualizar é a única opção segura. Para donos de sites WordPress, a correção depende principalmente da versão instalada no servidor — não basta apenas atualizar temas e plugins.
Navegue pelo artigo
- O que aconteceu
- Quais versões foram corrigidas
- O que muda para sites WordPress
- Como proteger o servidor
- O papel da inteligência artificial
Falhas críticas no PHP: o que aconteceu
Em 21 de outubro de 2026, a equipe oficial do PHP liberou atualizações para corrigir as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, conhecidas em conjunto como “php2shell”. Segundo o comunicado do PHP, elas podem permitir execução remota de código sem autenticação.
A agência de segurança cibernética dos Estados Unidos, CISA, também publicou um alerta recomendando correção imediata. Ao mesmo tempo, governos e empresas em vários países retiraram serviços do ar preventivamente enquanto avaliavam seus ambientes.
A Reuters informou em 22 de outubro que as tentativas de exploração passaram de milhares para milhões após a divulgação pública. Porém, tentativas automatizadas não significam que todas tiveram sucesso, e a PHP Foundation disse não ter evidência de uma onda de invasões confirmadas em sistemas já corrigidos.
Quais versões do PHP foram corrigidas
O projeto publicou versões de segurança para linhas ainda suportadas. Entre elas estão PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Como a lista pode evoluir, administradores devem consultar a página de versões suportadas do PHP e o painel da hospedagem.
| Ambiente | Ação prioritária | Verificação |
|---|---|---|
| PHP 8.2 | Atualizar para 8.2.35 ou versão posterior corrigida | Confirmar a versão ativa no servidor |
| PHP 8.3 | Atualizar para 8.3.36 ou posterior | Reiniciar processos PHP após a troca |
| PHP 8.4 | Atualizar para 8.4.27 ou posterior | Testar formulários, checkout e APIs |
| PHP 8.5 | Atualizar para 8.5.12 ou posterior | Revisar logs depois da atualização |
| PHP antigo ou sem suporte | Migrar para uma linha mantida | Validar compatibilidade antes da mudança |
O que as falhas críticas no PHP significam para WordPress
WordPress é escrito em PHP, mas isso não significa que todo site esteja automaticamente vulnerável. O risco depende da versão instalada, da configuração do servidor, do modo como as requisições são processadas e das proteções oferecidas pela hospedagem.
Atualizar o WordPress continua importante, assim como manter plugins e temas em versões recentes. Entretanto, a correção do php2shell precisa ocorrer na camada do servidor. Portanto, quem usa hospedagem gerenciada deve confirmar com o provedor se a atualização foi aplicada e se os processos foram reiniciados.
Ponto essencial: o painel do WordPress pode mostrar tudo atualizado enquanto o servidor ainda executa uma versão antiga do PHP.
Como proteger seu site agora
- Confirme a versão real do PHP no painel da hospedagem ou com o suporte técnico.
- Instale a versão corrigida indicada pelo projeto PHP e pelo provedor.
- Reinicie os processos PHP-FPM, contêineres ou servidores para garantir que o código novo esteja ativo.
- Teste o site, principalmente login, formulários, pagamentos, busca e integrações.
- Revise logs em busca de requisições incomuns, arquivos alterados e processos inesperados.
- Troque credenciais se houver indício de comprometimento e restaure arquivos somente de um backup confiável.
A Cloudflare publicou proteções de firewall para bloquear tentativas conhecidas. Ainda assim, a própria orientação técnica é tratar o firewall como camada adicional, não como substituto da atualização.
Administradores de WordPress
Antes de qualquer alteração, faça uma cópia completa dos arquivos e do banco de dados. Depois, confira se o backup pode realmente ser restaurado.
O papel da inteligência artificial na descoberta
Ferramentas de IA ajudaram pesquisadores a transformar fraquezas antigas em explorações práticas, segundo reportagens da Associated Press e da Reuters. Isso mostra uma dupla realidade: os mesmos sistemas podem acelerar tanto a descoberta defensiva quanto a tentativa de ataque.
O episódio não prova que a inteligência artificial consiga invadir qualquer software sozinha. Especialistas ainda dependem de conhecimento humano para validar resultados, compreender configurações e desenvolver correções. Contudo, a velocidade entre divulgação e exploração diminuiu, o que deixa menos tempo para administradores reagirem.
O que observar nos próximos dias
Hospedagens devem continuar implantando correções e identificando clientes em versões antigas. Além disso, novas regras de firewall e indicadores de comprometimento podem ser divulgados conforme pesquisadores analisam as tentativas registradas.
Para pequenas empresas, o maior perigo é presumir que a atualização ocorreu automaticamente. A resposta mais segura é pedir uma confirmação objetiva ao provedor: versão do PHP em produção, data da correção e evidência de reinicialização dos serviços.
Leia também no VSFast
- OSS Scanner da Anthropic usa IA para caçar falhas em código aberto
- Como proteger WhatsApp, e-mail e redes sociais contra golpes digitais
- Mensagem suspeita: como conferir um pedido antes de clicar
As falhas críticas no PHP expõem como componentes discretos sustentam grande parte da internet. Atualizar rapidamente, confirmar a versão ativa e investigar sinais incomuns são as medidas mais importantes para reduzir o risco.
Atualizado em 24 de outubro de 2026. Este conteúdo é informativo; administradores devem seguir as orientações oficiais do projeto PHP, da CISA e de seus provedores de hospedagem.
Descubra mais sobre VsFast — Tecnologia, Notícias e Tendências
Assine para receber nossas notícias mais recentes por e-mail.
