Se o site ou a loja virtual da sua empresa roda em WordPress, Magento, Laravel ou qualquer outro sistema baseado em PHP, peça hoje à sua hospedagem ou à sua equipe técnica para atualizar o PHP para a versão 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e depois reiniciar o servidor. O projeto PHP lançou essas versões em 21 de outubro de 2026 para fechar duas falhas críticas conhecidas como PHP2Shell, cada uma com nota 9.2 de 10, que permitem a um invasor executar comandos no seu servidor sem nenhuma senha. A Autoridade Nacional de Cibersegurança da Arábia Saudita (NCA) emitiu no mesmo dia um alerta «crítico» recomendando a atualização, e empresas de segurança viram tentativas de exploração horas antes de a correção ser publicada.

O que aconteceu exatamente?

As duas falhas são a CVE-2026-109618 e a CVE-2026-109619, e estão na própria linguagem PHP, não em um plugin ou tema. Essa é a diferença principal: no nosso artigo anterior sobre as correções do WordPress que viraram o mapa dos invasores, o erro estava em um software que roda sobre o PHP. Aqui o erro está na base em que todo esse software se apoia. Por isso, ter o WordPress atualizado ou poucos plugins não protege você.

Segundo o primeiro alerta de segurança do PHP, a primeira falha aparece quando uma requisição fica sem memória enquanto está sendo preparada, deixando dados inicializados pela metade que o PHP depois trata como válidos. Segundo o segundo alerta, a outra falha deixa dados de uma requisição anterior pendurados depois de liberados, e a próxima requisição no mesmo processo os usa. O resultado é o mesmo nos dois casos: uma única requisição web bem montada basta para executar comandos no servidor.

A Wiz Research encontrou as falhas com a ajuda de modelos de IA. O relatório diz que a equipe as descobriu em 19 de agosto de 2026, comunicou à equipe do PHP em 24 de agosto, e que todas as versões do PHP desde a 5.4 são afetadas por pelo menos uma delas. A Wiz estima que o PHP roda cerca de 70% dos sites.

Meu site foi afetado?

Muito provavelmente sim, se ele roda em PHP e a versão é anterior às indicadas acima. A Wiz demonstrou execução remota de código sem autenticação no WordPress, no Drupal e no Joomla com configuração padrão. A Sansec ampliou a lista em sua análise para 11 plataformas, entre elas Magento 2.4.9, WordPress 7.1.2, Laravel 13.11, Symfony 8.1, phpMyAdmin, Nextcloud e WHMCS.

Para saber sua versão do PHP, abra o painel da hospedagem (cPanel, Plesk ou similar) e procure «PHP Version», ou pergunte à sua equipe. Fique atento a dois pontos:

  • A versão 8.1 e as anteriores estão fora de suporte e não vão receber correção. De acordo com a tabela de versões suportadas do PHP, os únicos ramos suportados agora são 8.2, 8.3, 8.4 e 8.5.
  • O próprio ramo 8.2 perde o suporte de segurança em 31 de dezembro de 2026, daqui a dois meses e meio. Se você vai atualizar agora, passe para 8.4 ou 8.5 e evite uma segunda atualização em breve.

O que fazer hoje: cinco passos

  1. Descubra onde o PHP roda. O site, a loja, o painel administrativo e qualquer sistema interno ou portal de clientes. Muitas empresas esquecem um site antigo que continua no ar.
  2. Atualize para uma versão corrigida. 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Em hospedagem compartilhada, pergunte por escrito à hospedagem: vocês aplicaram a atualização de 21 de outubro?
  3. Reinicie o PHP depois de atualizar. O alerta do PHP observa que um processo que não foi reiniciado continua com o código antigo, então baixar a atualização não basta.
  4. Se o seu site está na 8.1 ou anterior, planeje a atualização nesta semana e teste antes em uma cópia de homologação, porque alguns plugins antigos podem parar de funcionar.
  5. Verifique os logs. A Wiz recomenda procurar requisições de upload incomuns seguidas de erros de falta de memória, erros HTTP 500 repetidos ou cookies de sessão (PHPSESSID) grandes demais ou malformados.

Se você não puder atualizar hoje

Os alertas do PHP sugerem medidas temporárias que reduzem o risco, mas não substituem a atualização: desativar session.upload_progress.enabled definindo-o como 0 e reiniciar todos os processos, e na versão 8.5 definir fatal_error_backtraces como 0. Se o seu site nunca aceita envio de arquivos, você também pode bloquear requisições multipart no servidor de entrada.

Se o seu site está atrás da Cloudflare, a empresa diz em seu blog que implantou regras de firewall para essas falhas a partir das 3:02 UTC de 21 de outubro, cerca de 9 horas antes da divulgação, em todos os planos, inclusive o gratuito. Mas a própria Cloudflare recomenda atualizar o PHP mesmo com essa proteção, porque os invasores mudam seus ataques o tempo todo.

A visão da Origami

Essa falha lembra que a segurança de um site não termina na atualização do WordPress e dos plugins. Embaixo de cada site há uma linguagem de programação, um servidor e configurações, e todos precisam de alguém acompanhando. O que vemos com frequência nas empresas é um site criado anos atrás, sobre o qual ninguém sabe mais qual versão do PHP usa nem quem tem acesso para atualizá-lo. Se esse é o seu caso, a pergunta não é mais «devemos atualizar?», e sim «quem atualiza hoje?». Na Origami criamos sites e sistemas e acompanhamos suas atualizações desde o primeiro dia. Se quiser verificar seu site ou atualizar o PHP sem tirar nada do ar, fale com a gente.

Fontes