Atualizado em 23/10/2026, às 17h
A vulnerabilidade do PHP corrigida em 21 de outubro de 2026, chamada PHP2Shell, deixa um invasor executar comandos no servidor sem senha. O contexto completo está no post Falha no PHP: o que aconteceu. Aqui está só o passo a passo para saber se o seu site está exposto.
Passo 1: descubra a versão do PHP
No painel do WordPress, entre em Ferramentas, depois Saúde do Site, depois na aba Informação. Abra a seção Servidor e procure a linha "Versão do PHP".
Se você não tem acesso ao painel, o número também aparece no painel da hospedagem, em geral numa área chamada "Versão do PHP" ou "Seletor de PHP".
Passo 2: compare com a tabela
| A versão que apareceu | O que significa |
|---|---|
| 8.5.12 ou mais nova, 8.4.27 ou mais nova, 8.3.36 ou mais nova, 8.2.35 ou mais nova | Corrigida |
| 8.2, 8.3, 8.4 ou 8.5 com número menor que os acima | Pode estar exposta, siga para o passo 3 |
| 8.1 ou anterior | Exposta, e o PHP não lança correção para ela. A CISA recomenda tirar do ar o que não puder ser atualizado |
Passo 3: confirme com quem cuida do servidor
O número sozinho pode enganar. Servidores Linux costumam receber a correção sem mudar o número da versão. Um PHP que aparece como 8.3.30 pode já estar corrigido, e só quem cuida do servidor sabe.
Na hospedagem com CloudLinux, como a Hostinger, o PHP corrigido continua aparecendo como 8.3.35. A correção entrou no pacote sem mudar o número. Se o seu site mostra 8.3.35 numa hospedagem assim, confirme com ela antes de concluir que está exposto.
Mande esta mensagem para a sua hospedagem ou para quem administra o servidor:
O PHP do meu site já recebeu a correção do PHP2Shell (CVE-2026-109618 e CVE-2026-109619), lançada em 21 de outubro de 2026? Se ainda não recebeu, qual é o prazo? O PHP foi reiniciado depois da atualização?
A pergunta do reinício importa. O PHP mantém processos rodando, e eles só passam a usar a versão corrigida depois de reiniciados.
Passo 4: veja quem é responsável pela correção
| Onde o site está | O que fazer |
|---|---|
| Hospedagem gerenciada de WordPress | Procure o aviso da hospedagem por e-mail ou na página de status. Sem aviso até o fim do dia, abra um chamado. |
| Hospedagem compartilhada, com cPanel ou parecido | Procure o aviso da hospedagem. Se o painel deixar escolher a versão do PHP, escolha 8.2 ou mais nova. |
| VPS ou servidor próprio | Ninguém corrige por você. Quem administra o servidor atualiza os pacotes do PHP e reinicia o serviço hoje. |
| Não sei onde o site está | Trate o site como exposto e descubra quem tem acesso à hospedagem. |
Se a troca de versão é sua, o passo a passo sem quebrar o site está em Atualizar PHP WordPress: como trocar a versão sem quebrar o site.
Passo 5: se a resposta for "não sei"
Trate o site como exposto. Um site sem ninguém olhando o servidor é exatamente o alvo dos robôs que varrem a internet atrás dessa falha.
Depois de confirmar a correção
Os ataques começaram em 17 de outubro, antes da correção. Corrigir fecha a porta, mas não diz se alguém entrou antes. Confira se surgiram usuários administradores que você não criou, páginas com conteúdo estranho, redirecionamentos para outros sites e arquivos alterados no servidor.
Como o ataque funciona por dentro está no post PHP2Shell: como funciona o ataque.
Quer que a gente verifique?
Os clientes do plano mensal da Boldman foram corrigidos em 21 de outubro sem precisar fazer nada. Se você não tem certeza sobre o seu site, a gente confere o servidor, faz a correção ou um teste de segurança. Fale com a gente no WhatsApp: (51) 2165-9690.
