Falha no PHP (PHP2Shell): como proteger seu site WordPress hoje.

Uma falha no PHP batizada de PHP2Shell está sendo usada em ataques desde 17 de outubro de 2026 e já fez governos tirarem sites do ar na Europa. Se o seu site é feito em WordPress, ele roda em PHP. E atualizar o WordPress ou os plugins não resolve.

Este guia explica o que é a falha, qual é a versão segura do PHP e o passo a passo para atualizar o PHP na sua hospedagem.

O que é a falha no PHP chamada PHP2Shell

PHP2Shell é o nome dado a duas vulnerabilidades no PHP, registradas como CVE-2026-109618 e CVE-2026-109619. Cada uma recebeu nota 9,2 de 10 em gravidade.

As duas permitem execução remota de código: um invasor consegue rodar comandos no servidor sem precisar de login ou senha. Com isso, pode alterar o site, instalar arquivos maliciosos e ler dados da memória do servidor, como senhas, tokens e chaves de API.

As falhas foram encontradas de forma independente pela empresa de segurança Calif e pela OpenAI, em agosto. A correção oficial saiu em 21 de outubro de 2026.

O alcance é grande porque o PHP roda em cerca de 69% dos sites cuja linguagem é conhecida, segundo a W3Techs. Todo site WordPress está nessa conta.

A falha no PHP já está sendo usada em ataques

• A Amazon registrou a primeira tentativa de ataque em 17 de outubro, quatro dias antes do anúncio oficial.
• No dia da correção, a Cloudflare e a empresa watchTowr já viam tentativas de exploração.
• O pesquisador Silas Cutler estima mais de 1,3 milhão de servidores potencialmente vulneráveis na internet.
• França, Países Baixos e Finlândia tiraram sites do governo do ar por precaução enquanto aplicavam a correção.

Se o seu site ficou fora do ar nesta semana, pode ter sido a sua hospedagem aplicando a atualização de emergência. Vale confirmar com o suporte.

Atualizar o WordPress resolve a falha no PHP?

Não. A falha está no próprio PHP, o programa do servidor que faz o site funcionar. O WordPress, o tema e os plugins rodam em cima dele. Por isso, nenhuma atualização feita dentro do WordPress corrige o problema, e plugins de segurança também não bloqueiam a falha.

A correção depende da versão do PHP instalada na hospedagem. O próprio time do PHP diz que atualizar é a única proteção completa.

Qual é a versão segura do PHP

As versões corrigidas contra o PHP2Shell são:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

O PHP 8.1 e as versões anteriores não ganharam versão oficial corrigida. A 8.2 perde o suporte de segurança em 31 de dezembro de 2026. Por isso, minha recomendação é ir direto para o PHP 8.3 ou superior.

Como ver a versão do PHP do seu site

No painel do WordPress, entre em Ferramentas › Saúde do Site › Informações › Servidor. A versão do PHP aparece nessa tela. No cPanel, ela também aparece em MultiPHP Manager.

Como atualizar o PHP na sua hospedagem

Antes de tudo, faça um backup completo dos arquivos e do banco de dados. Depois, siga o caminho da sua hospedagem:

• HostGator: cPanel › busque "Alterar versão de PHP" › escolha o domínio › selecione a versão › Aplicar.
• KingHost: Painel de Controle › Configuração PHP › selecione a versão › Configurar.
• Locaweb: Painel de Hospedagem › Administrar o domínio › Resumo de Uso › Versão do PHP › Aplicar versão.
• GoDaddy: Meus Produtos › Gerenciar a hospedagem cPanel › Configurações › Versão do PHP › Alterar › Salvar.
• Hostinger: hPanel › Avançado › Configuração PHP › selecione a versão › Salvar.

Depois da troca, teste os formulários, o login, o checkout e o envio de e-mails.

Atenção: escolher a 8.3 no painel não garante a correção. A hospedagem também precisa ter instalado a versão corrigida, que é a 8.3.36 ou superior. Se tiver dúvida, confirme com o suporte.

Se a versão corrigida não aparecer, abra um chamado

Abra um chamado no suporte da hospedagem ainda hoje. Este é o texto pronto para copiar:

Solicito a atualização do PHP do domínio [seu domínio] para uma versão corrigida contra o PHP2Shell (CVE-2026-109618 e CVE-2026-109619), 8.3.36 ou superior.

Proteção temporária enquanto o PHP não é atualizado

Estas medidas reduzem o risco, mas não substituem a atualização:

• Cloudflare: se o site passa pela Cloudflare, ative as regras de firewall (WAF) que ela publicou contra o PHP2Shell. Elas estão disponíveis inclusive no plano gratuito.
• Ajuste no PHP: peça ao suporte para desativar a opção session.upload_progress.enabled.
• Sites críticos: se o site guarda dados sensíveis e a hospedagem não tem previsão de correção, considere colocá-lo em manutenção até a atualização.

Depois de atualizar o PHP

Como precaução, troque a senha de administrador do site, a senha do banco de dados e as chaves de API que o site usa. Faça isso só depois que o PHP já estiver atualizado.

Também vale conferir se apareceu algum usuário administrador que você não conhece e se há arquivos .php dentro da pasta wp-content/uploads, onde normalmente só ficam imagens.

Perguntas frequentes sobre a falha no PHP

O que é PHP2Shell?

É o nome dado a duas falhas críticas no PHP (CVE-2026-109618 e CVE-2026-109619) que permitem rodar código no servidor sem login. A correção foi publicada em 21 de outubro de 2026.

Atualizar só os plugins do WordPress resolve?

Não. A falha está no PHP do servidor. A correção é feita na hospedagem, trocando para uma versão corrigida.

Qual é a versão segura do PHP?

8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Como a 8.2 perde suporte no fim de 2026, o mais indicado é a 8.3 ou superior.

Meu site ficou fora do ar. Tem relação com a falha?

Pode ter. Muitas hospedagens e órgãos públicos colocaram sites em manutenção para aplicar a atualização de emergência. O suporte da sua hospedagem consegue confirmar.

Quem só visita sites precisa fazer alguma coisa?

Não. A correção é responsabilidade de quem mantém o site e a hospedagem.

Precisa de ajuda para atualizar o PHP?

Se você não sabe por onde começar, posso verificar a versão do PHP do seu site e orientar a atualização. É só entrar em contato.

E se você conhece alguém que tem site, envie este artigo para o TI da empresa ou para quem cuida da hospedagem.

Fontes: Tenable, The Hacker News, Help Net Security, Malwarebytes, Times Brasil e centrais de ajuda da HostGator, KingHost, Locaweb, GoDaddy e Hostinger.