1. Identifique a versão real do PHP
Verifique a versão usada pelo site e pelo processo web, não apenas a versão disponível no terminal.
ALERTA DE SEGURANÇA · OUTUBRO DE 2026
PHP2Shell: o que empresas com PHP e WordPress precisam fazer agora
O PHP publicou correções para duas vulnerabilidades críticas, CVE-2026-109618 e CVE-2026-109619, que podem permitir execução remota de código sem autenticação em determinadas configurações. A prioridade é verificar a versão e o pacote instalado com a hospedagem, aplicar a correção disponível e avaliar sinais de comprometimento.
O que aconteceu com o PHP?
Duas falhas críticas receberam correções de segurança em 21 de outubro de 2026.
O projeto PHP anunciou atualizações de segurança para corrigir CVE-2026-109618 e CVE-2026-109619. Os avisos descrevem caminhos de execução remota de código sem autenticação. Isso não significa que todo site WordPress foi invadido, mas ambientes expostos e sem correção devem ser tratados como prioritários. O risco depende da versão, da forma como o PHP é executado e dos pacotes fornecidos pela distribuição ou hospedagem. PHP é usado por WordPress e por outras aplicações web, portanto a avaliação não deve se limitar ao painel do WordPress.
Checklist de ações prioritárias
2. Confirme a correção com a hospedagem
As versões upstream anunciadas como corrigidas incluem PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Em versões antigas ou pacotes de distribuição, confirme se existe backport oficial; PHP 8.1 e anteriores não recebem manutenção regular upstream.
3. Teste antes de alterar produção
Faça backup restaurável, valide compatibilidade de plugins, temas e integrações em homologação e planeje rollback.
4. Investigue sinais de invasão
Se houver suspeita de comprometimento, preserve logs, revise usuários administrativos, arquivos alterados, tarefas agendadas, credenciais e conexões externas.
5. Rotacione segredos quando indicado
Após avaliar a exposição, planeje a troca de senhas, tokens, chaves de API e credenciais de banco, além de invalidar sessões.
Perguntas frequentes sobre PHP2Shell
Atualizar o WordPress resolve as falhas PHP2Shell?
Não necessariamente. As falhas citadas são no runtime PHP. A correção precisa ser confirmada na versão ou no pacote PHP que atende o site. WordPress, plugins e temas também devem ser mantidos atualizados.
Se atualizei o PHP, posso considerar o site limpo?
Não. Atualizar corrige a vulnerabilidade correspondente, mas não remove automaticamente backdoors ou alterações feitas anteriormente. Se houver sinais de invasão, faça investigação e validação específicas.
Quais versões devo instalar?
O anúncio do projeto PHP de 21/10/2026 lista 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Verifique os avisos atuais do fornecedor do sistema operacional ou da hospedagem, especialmente para versões antigas e pacotes com correções retroportadas.
Avalie a exposição do seu ambiente PHP e WordPress
A versão instalada, a hospedagem e os sinais observados determinam os próximos passos.