Atualizado em 23/10/2026, às 17h
A correção do PHP2Shell, a falha crítica do PHP corrigida em 21 de outubro de 2026, é atualizar o PHP do servidor. Atualizar o WordPress, o tema e os plugins não basta. O contexto completo está no post Falha no PHP: o que aconteceu. Aqui está o passo a passo da troca.
Antes de tudo: descubra se a troca é sua
Em muitos sites quem atualiza o PHP é a hospedagem, e você não precisa mexer em nada.
| Onde o site está | Quem troca o PHP |
|---|---|
| Hospedagem gerenciada de WordPress | A hospedagem. Confira o aviso dela e abra um chamado se não houver nada até o fim do dia. |
| Hospedagem compartilhada, com cPanel ou parecido | A hospedagem libera a versão corrigida. Você escolhe a versão no painel, como mostram os passos abaixo. |
| VPS ou servidor próprio | Quem administra o servidor atualiza os pacotes do PHP e reinicia o serviço. |
Se você não sabe qual é o seu caso, o post PHP vulnerabilidade: como saber se o site está exposto ajuda a descobrir.
Passo 1: anote a versão atual
No painel do WordPress, entre em Ferramentas, depois Saúde do Site, depois na aba Informação. Na seção Servidor, anote a linha "Versão do PHP". Ela serve para voltar atrás se algo der errado.
Na hospedagem com CloudLinux, como a Hostinger, a versão corrigida pode continuar com o mesmo número, como o 8.3.35. Confirme com a hospedagem antes de trocar, porque a correção pode já ter chegado.
Passo 2: faça um backup completo
Backup completo é arquivos e banco de dados juntos. A maioria das hospedagens tem um botão de backup no painel. Confirme que o backup terminou e que você sabe onde ele ficou antes de seguir.
Passo 3: atualize tema e plugins
Tema e plugin desatualizados são o que mais quebra numa troca de PHP. Atualize os dois antes, e não depois. Plugin abandonado há anos, sem atualização, é candidato a trocar por outro.
Passo 4: teste numa cópia, se puder
Muitas hospedagens criam uma cópia do site com um clique, chamada de ambiente de teste ou staging. Troque o PHP primeiro na cópia e navegue pelas páginas principais. Se a sua hospedagem não tem isso, siga para o passo 5 num horário de pouco movimento.
Passo 5: troque a versão no painel
| Painel | Onde fica |
|---|---|
| cPanel | Procure "Selecionar versão do PHP" ou "MultiPHP Manager" e escolha a versão para o domínio do site. |
| hPanel (Hostinger) | Entre no site, depois em Avançado, depois em Configuração do PHP. |
| Outros painéis | Procure por "PHP" na busca do painel. Se não aparecer, peça a troca ao suporte. |
Escolha a versão 8.2 ou mais nova, com a correção de 21 de outubro. Se o painel oferecer mais de uma, prefira a mais nova que o seu tema e os seus plugins aceitam.
Passo 6: confira o site
Logo depois da troca, abra a página inicial, as páginas de produto ou serviço, o formulário de contato e o carrinho, se houver. Entre no painel do WordPress e volte em Saúde do Site para confirmar a versão nova.
Se o site quebrar
Volte o PHP para a versão que você anotou no passo 1. O site volta a funcionar na hora. Depois descubra qual plugin ou tema não aceita a versão nova, troque ou atualize esse item e tente de novo.
Voltar resolve o site, mas deixa a falha aberta. Trate a volta como algo de horas, não de semanas.
Sites no PHP 8.1 ou anterior
Para essas versões o PHP não lança correção, então a única saída é subir para o 8.2 ou mais novo. É a troca com mais risco de quebrar, porque o salto de versão é maior. Aqui o backup e o teste numa cópia deixam de ser recomendação e passam a ser obrigatórios.
Se a troca não puder ser feita logo, a CISA, agência de segurança dos EUA, recomenda tirar o site do ar até atualizar.
Depois de atualizar
Os ataques começaram em 17 de outubro, antes da correção. Atualizar fecha a porta, mas não diz se alguém entrou antes. Confira se surgiram usuários administradores que você não criou, páginas com conteúdo estranho, redirecionamentos para outros sites e arquivos alterados no servidor.
Os detalhes técnicos das versões corrigidas estão na ficha técnica do CVE-2026-109618 e do CVE-2026-109619.
Quer que a gente faça a troca?
Os clientes do plano mensal da Boldman foram corrigidos em 21 de outubro sem precisar fazer nada. Se você prefere não mexer no servidor, a gente faz o backup, testa, troca o PHP e confere o site. Fale com a gente no WhatsApp: (51) 2165-9690.
