Falha no PHP: o que é a vulnerabilidade PHP2Shell e o que fazer com o seu site

Duas vulnerabilidades no PHP, a linguagem que roda por trás do WordPress e de boa parte dos sites do mundo, fizeram governos, tribunais e empresas tirarem páginas do ar nesta quarta-feira (21). As falhas foram registradas como CVE-2026-109618 e CVE-2026-109619, ganharam o apelido de PHP2Shell e permitem que um invasor execute comandos em um servidor sem precisar de login. A equipe do PHP publicou a correção hoje e pede que todos os usuários atualizem imediatamente.

Se você tem um site, uma loja virtual ou um blog, este texto explica o que aconteceu, como saber se o seu está exposto e o que pedir para a sua hospedagem. Se você só navega na internet, há uma parte no fim para você também.

O que é a falha no PHP

O PHP é uma linguagem de programação que funciona no servidor. Quando alguém abre uma loja virtual, é o PHP que pode consultar os produtos, atualizar o carrinho e conversar com o banco de dados antes de a página chegar ao navegador, como explica o Canaltech. WordPress, Drupal e Joomla são feitos em PHP. Segundo dados da W3Techs citados pela mesma reportagem, 69,3% dos sites cuja linguagem de servidor é conhecida usam PHP, e o WordPress está em mais de 43% das páginas da internet.

As duas brechas são do tipo execução remota de código. Na prática, um criminoso consegue rodar os próprios comandos no servidor, alterar páginas e roubar informações, segundo a empresa de segurança watchTowr, citada pelo Olhar Digital. Sergey Lozhkin, da Kaspersky, disse ao Canaltech que os invasores podem instalar “web shells”, ferramentas que dão controle remoto da máquina comprometida.

O aviso oficial do PHP descreve os dois defeitos. No CVE-2026-109618, o tratamento de falta de memória pode interromper o PHP enquanto dados internos da requisição estão só parcialmente preparados, e a limpeza depois trata esses dados inválidos como válidos. No CVE-2026-109619, um estado interno que pertence a uma requisição sobrevive depois que a memória dele foi liberada, e a requisição seguinte atendida pelo mesmo processo pode usar esse resto antes de ele ser zerado. As duas receberam nota 9,2 na escala CVSS 4.0, informa a Laravel Forge, empresa que administra servidores PHP.

Quem está em risco

Pelo aviso do PHP, estão em risco todas as instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. A equipe considera o risco maior no mod_php, onde um ataque já demonstrado funciona com uma única requisição sem login, antes mesmo de qualquer código do site rodar.

Sobre quais versões são afetadas, as fontes não batem:

• a watchTowr diz que a falha afeta o PHP 5, 7 e 8, mas ressalva que esse alcance veio de um relato ainda não confirmado por aviso oficial;
• a Laravel Forge escreve que as duas vulnerabilidades afetam versões do PHP desde 2004;
• o Agora Litoral fala em PHP 5.4 e edições posteriores.

O Olhar Digital cita um pesquisador que estima em mais de 1,3 milhão os servidores conectados à internet que podem estar vulneráveis. Segundo a Wordfence, empresa de segurança para WordPress, todos os sites da plataforma estariam expostos por dependerem de PHP.

Quais versões corrigem

A correção saiu em quatro versões, segundo o site oficial do PHP:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

O PHP 8.1 e as versões anteriores não recebem mais atualização do projeto. Algumas distribuições Linux e empresas de suporte estendido oferecem correções adaptadas para essas versões antigas. Por causa da gravidade, a equipe de segurança do PHP também publicou pequenos ajustes no código-fonte para PHP 7.4, 8.0 e 8.1, voltados a quem compila o PHP por conta própria ou não tem um fornecedor de suporte. Não há pacote pronto oficial para essas versões. O mesmo aviso lembra que o PHP 8.2 deixa de receber correções de segurança em 31 de dezembro de 2026.

A Help Net Security acrescenta um detalhe para quem usa servidor próprio: o repositório rpms.remirepo.net, mantido por voluntários e muito usado em servidores Red Hat, não teria atualização disponível nesta quarta, e quem depende dele deve trocar para os pacotes da distribuição ou compilar o PHP.

Brasil também tirou sistemas do ar

A Anatel confirmou ao Canaltech que retirou temporariamente do ar o Sistema Eletrônico de Informações (SEI) por causa das vulnerabilidades. “O caso não se trata de uma falha ou vulnerabilidade inerente ao SEI”, disse a agência, que ligou a suspensão ao próprio PHP. O Tribunal Regional Federal da 1ª Região suspendeu o acesso externo ao SEI, a Justiça Federal da 4ª Região, que atende Rio Grande do Sul, Santa Catarina e Paraná, interrompeu o acesso externo aos sistemas a partir das 11h, e o TRF6, em Minas Gerais, suspendeu expediente e prazos processuais, segundo o portal O Fator citado pelo Canaltech.

O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou alerta recomendando que as instituições instalem as versões corrigidas e, se não for possível, avaliem suspender o acesso externo às aplicações vulneráveis. Até agora não há confirmação de invasão nesses órgãos. As suspensões foram preventivas.

Lá fora, o Canaltech relata, com base na Reuters, interrupções em pelo menos sete países. Nos Países Baixos saíram do ar portais do governo, sites de hospitais e o Porto de Roterdã. Finlândia, França, Alemanha, Bélgica e Dinamarca também suspenderam serviços, e a Fundação Wikimedia confirmou a suspensão de alguns sistemas de apoio. O GrapheneOS, sistema para celulares focado em privacidade, suspendeu o próprio fórum, segundo o Olhar Digital.

Já tem ataque acontecendo?

Sim, segundo duas fontes. A watchTowr diz ter observado exploração real a partir de 21 de outubro na sua rede de armadilhas para atacantes. Dane Knecht, diretor de tecnologia da Cloudflare, declarou ao Olhar Digital: “Estamos vendo os primeiros ataques surgirem”. O Canaltech ressalva que ainda não há confirmação de ataques em massa que tenham comprometido milhões de sites.

A Cloudflare publicou regras no seu firewall de aplicação (WAF) para os vetores de ataque conhecidos. Segundo Knecht, na Help Net Security, as regras valem para todos os clientes, inclusive os do plano gratuito. A própria empresa e a equipe do PHP repetem que isso não substitui a atualização.

O que o dono de site deve fazer agora

1. Descubra qual PHP o seu site usa. A maioria das hospedagens mostra a versão no painel de controle, na área de configuração do PHP. No WordPress, a informação aparece em Ferramentas, Saúde do site, aba Informação, seção Servidor. Anote o número completo, com os três dígitos.

2. Compare com a lista. Se aparecer 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou um número maior dentro da mesma série), a correção já está lá. Se aparecer qualquer número abaixo, o site está numa versão sem a correção.

3. Cobre a hospedagem. Em hospedagem compartilhada, quem atualiza o PHP é a empresa que vende o plano. O aviso oficial diz que distribuições Linux e fornecedores receberam os pacotes antes da divulgação, então a pergunta a fazer é direta: “o PHP do meu servidor já está em 8.x corrigido?”. Peça a resposta por escrito no chamado.

4. Não confie só na atualização automática. Atualizar WordPress, tema e plugins não resolve, porque a falha está no PHP e não neles, lembra o Canaltech. O Olhar Digital informa que a correção não é instalada pelas atualizações automáticas do WordPress. Até a atualização automática de segurança de serviços de servidor pode não cobrir o PHP: a Laravel Forge avisou os próprios clientes que o recurso dela não atualiza o PHP e que cada servidor precisa ser atualizado manualmente.

5. Se o site está no PHP 8.1 ou mais antigo, mude de versão. Não haverá correção oficial pronta. Muitos painéis permitem trocar a versão do PHP com poucos cliques. Antes, faça backup completo (arquivos e banco de dados) e teste o site depois da troca, porque temas e plugins antigos podem quebrar em versão nova.

6. Faça backup antes de qualquer mudança. Vale também guardar uma cópia fora da hospedagem, para o caso de o servidor já ter sido comprometido.

7. Use um firewall de aplicação enquanto isso. Colocar o site atrás de um serviço com WAF, como a Cloudflare, reduz a exposição aos ataques conhecidos. É uma barreira provisória.

8. Se não der para corrigir, considere tirar do ar. O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomenda considerar desligar da internet o que não puder ser corrigido logo, segundo a Help Net Security. Autoridades de cibersegurança da União Europeia deram orientação parecida, conforme o Olhar Digital. Gina Peter Banyard, desenvolvedora do PHP, disse ao site que, sem conseguir aplicar a correção, desligar os servidores “pode ser a decisão mais sensata”.

Quem administra o próprio servidor encontra no aviso oficial do PHP uma lista de ajustes de configuração que reduzem caminhos específicos de ataque, como desligar session.upload_progress.enabled e limitar post_max_size. O próprio texto avisa que essas medidas não tornam a instalação segura. A Laravel Forge lembra ainda que processos de longa duração, como filas e workers, continuam rodando a versão antiga até serem reiniciados.

E quem só visita sites?

O problema está nos servidores, não no seu celular ou computador. Não há nada para instalar do lado de quem navega. O que muda é o cuidado: um site invadido pode ser alterado para mostrar página falsa, pedir dados ou mandar para golpe. Nos próximos dias, desconfie de páginas conhecidas que de repente pedem senha, dados de cartão ou download de arquivo, e não use a mesma senha em vários serviços. Se um serviço público estiver fora do ar, procure o aviso nos canais oficiais do órgão antes de buscar alternativas.

Como a falha foi descoberta

Aqui também há divergência. O Canaltech diz que as vulnerabilidades foram identificadas em agosto de 2026 por pesquisadores das empresas Wiz e Calif, com ajuda de ferramentas de inteligência artificial do Google e da OpenAI, e que, segundo a PHP Foundation, já havia indícios de uma das falhas desde 2024. O Agora Litoral atribui a descoberta à Calif e à OpenAI. Pesquisadores da Wiz disseram à Help Net Security que os defeitos existiam havia décadas, mas que demonstrar a exploração exigia uma cadeia de passos no limite do que pesquisadores humanos conseguiam fazer, e que modelos de IA “reduziram substancialmente essa barreira”.

A data também mudou no caminho. A watchTowr relata que um vazamento nas redes sociais apontava o anúncio para 22 de outubro, às 18h no horário da Europa Central. O PHP havia avisado em 20 de outubro que a versão sairia na quarta-feira, 21, às 14h UTC (11h de Brasília), e se reservou o direito de antecipar se os detalhes vazassem ou surgissem ataques. Saiu no dia 21.

Perguntas e respostas sobre a falha no PHP

O que é PHP2Shell? É o apelido dado às vulnerabilidades CVE-2026-109618 e CVE-2026-109619 no PHP, que permitem executar comandos em um servidor sem login.

Qual a gravidade? As duas receberam nota 9,2 na escala CVSS 4.0, que vai até 10.

Meu site em WordPress está em risco? Se o servidor roda uma versão do PHP sem a correção, sim. Atualizar o WordPress e os plugins não resolve, porque o defeito está no PHP.

Quais versões do PHP estão corrigidas? 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Uso PHP 7.4 ou 8.1. E agora? O projeto PHP não publica versão corrigida para essas séries. Há ajustes de código-fonte para 7.4, 8.0 e 8.1 e correções de alguns fornecedores. Para quem tem site em hospedagem comum, o caminho é pedir a troca para uma versão suportada e corrigida.

Como sei a versão do PHP do meu site? No painel da hospedagem, na área de configuração do PHP, ou no WordPress em Ferramentas, Saúde do site, Informação, Servidor.

A Cloudflare resolve? Ajuda. As regras de WAF para os ataques conhecidos valem até no plano gratuito, mas não substituem a atualização do PHP.

Eu, que só navego, preciso fazer algo? Não há o que instalar. Fique atento a sites conhecidos que passem a pedir senha, cartão ou download fora do comum.

Já houve invasões no Brasil? Até agora, os órgãos brasileiros que suspenderam sistemas falam em medida preventiva, sem confirmação de invasão.

Foto: elePHPant, o mascote de pelúcia do PHP. Atomic Taco via Wikimedia Commons, licença CC BY-SA 2.0.