PHP2Shell: o que as falhas no PHP significam para seu site

O PHP2Shell acendeu um alerta para quem mantém sites. Duas falhas graves no PHP levaram o projeto a publicar correções em 21 de outubro de 2026. Por isso, quem tem um blog, loja ou site de empresa deve conferir a hospedagem. [1]

Em certas condições, essas falhas permitem que alguém execute comandos no servidor sem fazer login. O alerta também vale para sites feitos com WordPress. [2]

O que é o PHP2Shell?

PHP2Shell reúne duas falhas: CVE-2026-109618 e CVE-2026-109619. Elas afetam a forma como o PHP usa a memória do servidor e trata erros. A PHP Foundation relata testes que mostraram ataques possíveis em alguns cenários. [2]

No entanto, isso não quer dizer que todo site com PHP foi invadido. O risco depende do ambiente e das correções já aplicadas. Assim, cada caso precisa de uma avaliação técnica. [6]

PHP2Shell: o que muda para quem usa WordPress?

O PHP faz parte da base do WordPress. Em geral, a empresa de hospedagem cuida da versão instalada no servidor. Por isso, atualizar o WordPress, o tema ou os plugins não garante que o PHP recebeu essas correções. [4] [5]

A pergunta para o suporte é simples: vocês corrigiram as duas falhas do PHP2Shell? Além disso, peça o nome do pacote ou da atualização aplicada. Essa confirmação ajuda a saber o que foi feito no servidor. [3]

Qual foi o papel da inteligência artificial?

Segundo a PHP Foundation, pesquisadores usaram ferramentas de IA para investigar as falhas e analisar possíveis ataques. Dessa forma, a IA ajudou no trabalho de segurança. Porém, profissionais continuaram responsáveis pelas decisões e pela criação das correções. [2]

Quais versões do PHP corrigem o PHP2Shell?

O projeto anunciou quatro versões com as correções em 21 de outubro: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Na prática, a hospedagem precisa instalar um pacote que inclua os ajustes. Consulte o fornecedor para saber qual pacote ele usa. [1]

PHP 8.1 e versões anteriores já não recebem atualizações regulares do projeto. Porém, alguns fornecedores oferecem correções adaptadas para essas versões. O PHP também publicou ajustes mínimos de código para as versões 7.4, 8.0 e 8.1. Portanto, o número da versão, sozinho, não prova que a falha foi corrigida. [1]

O que fazer agora no seu site?

1. Primeiro, procure quem cuida da hospedagem. Confirme quem instala as atualizações do PHP no servidor.
2. Em seguida, peça uma confirmação. Envie os dois códigos CVE e pergunte qual pacote contém as correções. [3]
3. Antes de mudar a versão, faça backup. Confira se o WordPress, o tema e os plugins funcionam com a nova versão. Se possível, teste tudo em uma cópia do site. [5]
4. Depois da mudança, teste o site. Abra o painel e as páginas. Por exemplo, confira os formulários e o processo de compra, se houver. [5]
5. Se ainda não houver correção, peça um plano ao suporte. Avalie o risco com a equipe técnica. A NSA recomenda considerar a retirada do sistema do ar se não for possível corrigir logo. Essa decisão precisa considerar a exposição do ambiente. [3]

Um firewall resolve o problema?

Um firewall ajuda a filtrar acessos e pode somar uma camada de defesa. A Cloudflare, por exemplo, anunciou regras para o PHP2Shell. Mesmo assim, orienta seus clientes a atualizar o PHP. Portanto, o firewall não substitui a correção no servidor. [4]

O que podemos aprender com esse alerta?

Na avaliação editorial da Howto, esse caso mostra o valor de ter uma rotina de manutenção. Saiba quem cuida do servidor e onde estão os backups. Além disso, combine como a equipe vai agir quando surgir um alerta de segurança.

Você sabe qual PHP seu site usa e quem acompanha as atualizações? Se ainda não sabe, comece por essa conversa com a hospedagem. Assim, fica mais fácil agir quando for preciso.

Para acompanhar novidades e entender como elas afetam sua rotina, visite a página inicial do blog Howto Tecnologia.

Informações conferidas em 22 de outubro de 2026. Novos avisos podem surgir após essa data. Por isso, consulte as fontes oficiais e sua hospedagem.

Fontes e referências

1. PHP.net — comunicado de segurança, 21/10/2026
2. The PHP Foundation — descoberta e correção das falhas, 21/10/2026
3. NSA — orientação para organizações, 21/10/2026
4. Cloudflare — proteções e atualização do PHP, 21/10/2026
5. WordPress.org — orientações para atualizar o PHP
6. Google Cloud — resposta às vulnerabilidades, 21/10/2026