Duas falhas graves no PHP estão sendo exploradas. Se o seu site roda WordPress, isto é com você.
No dia 21 de outubro, pesquisadores de segurança começaram a registrar ataques reais contra uma das tecnologias mais usadas da internet: o PHP, a linguagem que roda por trás de boa parte dos sites do mundo, o WordPress incluído. Não é um risco teórico nem um "pode acontecer um dia". Já está acontecendo agora, com invasores ativos tentando entrar em servidores vulneráveis.
Se você nunca ouviu falar em PHP, tudo bem. O que importa é o seguinte: existe uma boa chance de que o site da sua empresa dependa dele, e vale cinco minutos pra entender o que fazer.
O que aconteceu
Foram descobertas duas vulnerabilidades no núcleo do PHP, batizadas em conjunto de PHP2Shell (os códigos técnicos são CVE-2026-109618 e CVE-2026-109619). Ambas receberam nota de severidade 9.2 numa escala que vai até 10, o que as coloca na categoria crítica.
Em português claro: elas permitem que um atacante que nunca teve acesso ao seu sistema, e que não precisa de senha nenhuma, consiga rodar os próprios comandos dentro do seu servidor. É o tipo de brecha que um criminoso usa pra assumir o controle da máquina, roubar dados, instalar um ransomware ou transformar o seu site numa isca contra os seus próprios clientes.
Por que isso deveria te preocupar
O PHP não é uma tecnologia de nicho. Ele sustenta a maioria esmagadora dos sites da internet, e praticamente todo site feito em WordPress roda sobre ele. Lojas virtuais, sites institucionais, portais de clientes, áreas de login: se foi construído em WordPress, quase certamente tem PHP por baixo.
O agravante é que essa falha já está sendo explorada no mundo real. Quando uma vulnerabilidade crítica é divulgada, os atacantes saem varrendo a internet em busca de servidores que ainda não atualizaram. Quem demora pra corrigir vira alvo fácil, e o custo de um incidente desses, entre parada do sistema, vazamento de dados e dano à reputação, costuma ser muito maior do que o de se prevenir.
Quem está na linha de frente
O maior risco é pra quem tem um servidor com PHP desatualizado e exposto à internet, que é o caso de qualquer site no ar. Configurações mais antigas, com o PHP rodando direto no servidor web, são as mais expostas. E não adianta tentar "contornar" mexendo em configuração: segundo os próprios mantenedores do PHP, nenhum ajuste resolve o problema. Só a atualização fecha a porta.
O que fazer agora
- Descubra qual versão do PHP o seu site usa. No WordPress hospedado (GoDaddy, Hostgator e afins), isso fica no painel da hospedagem.
- Atualize para uma versão corrigida: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou mais recente). Na maioria das hospedagens gerenciadas, isso é um clique, e muitas já aplicaram o patch automaticamente.
- Depois de atualizar, reinicie o site ou peça pra hospedagem reiniciar, pra correção passar a valer de fato.
- Se por algum motivo não der pra atualizar agora, restrinja o acesso ao sistema enquanto resolve.
Para a maioria das pequenas e médias empresas, o caminho é confirmar com a hospedagem se o PHP já está numa versão segura. É rápido e tira você da zona de risco.
Como a gente pode ajudar
Episódios como esse acontecem o tempo todo, e o difícil não é corrigir uma falha isolada: é ter alguém de olho pra saber quando uma falha dessas aparece, entender se ela afeta o seu ambiente e agir antes do atacante. É exatamente isso que a Vulnera faz, do diagnóstico à correção, ajustado ao tamanho e ao orçamento da sua empresa.
Não sabe se a sua empresa está exposta?
A gente faz um diagnóstico e te mostra onde você está vulnerável, sem compromisso.
Solicitar diagnósticoFontes: watchTowr Labs, Rescana e Security.com, outubro de 2026. As informações técnicas foram verificadas em avisos públicos de segurança e no registro oficial das vulnerabilidades.