Duas vulnerabilidades críticas no PHP colocaram administradores de sites em alerta nesta quarta-feira (21). As falhas, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 em gravidade e podem permitir a execução remota de comandos em servidores vulneráveis, sem autenticação.
O alerta afeta diferentes ambientes que executam PHP, incluindo sites construídos com WordPress. Isso não significa que todas essas páginas tenham sido invadidas. O risco depende da versão instalada, das correções aplicadas e das configurações de cada servidor.
A principal medida é confirmar se a hospedagem já aplicou os patches de segurança. A atualização do WordPress, dos temas e dos plugins continua importante, mas não substitui a correção da linguagem utilizada no servidor.
Quais são as falhas críticas no PHP?
O projeto PHP divulgou, em 21 de outubro de 2026, correções para duas vulnerabilidades que afetam o funcionamento interno da linguagem. Ambas podem abrir caminho para a execução remota de código, conhecida pela sigla RCE.
A primeira falha, CVE-2026-109618, está relacionada ao tratamento de situações de falta de memória. Em determinadas condições, o sistema pode lidar de forma incorreta com informações incompletas, causando corrupção de memória e criando condições para executar código indevido.
A segunda, CVE-2026-109619, envolve o uso inadequado de informações internas entre requisições. Dados que deveriam ser descartados podem continuar disponíveis para outro processamento, o que também pode favorecer uma exploração.
Na prática, um invasor pode enviar solicitações manipuladas a um servidor vulnerável. Se o ataque funcionar, poderá executar instruções sem precisar conhecer a senha de administrador do site. O resultado depende das permissões disponíveis e das condições do ambiente afetado.
Por que o PHP é importante para tantos sites?
O PHP é uma linguagem executada no servidor. Ela pode processar formulários, consultar bancos de dados, controlar sessões de usuários e gerar páginas que serão exibidas no navegador.
A tecnologia também sustenta sistemas de gerenciamento de conteúdo, como WordPress, Drupal e Joomla. Segundo dados da W3Techs, em 20 de outubro de 2026, o PHP era utilizado por 69,3% dos sites cuja linguagem de programação no servidor havia sido identificada.
Esse percentual ajuda a explicar a dimensão do alerta, mas não representa a quantidade de páginas vulneráveis nem o número de possíveis vítimas. Cada instalação precisa ser avaliada de acordo com a versão utilizada e as medidas de proteção disponíveis.
O risco é especialmente elevado em servidores que utilizam o módulo mod_php no Apache. Outros ambientes, como PHP-FPM, php-cgi, FrankenPHP e LiteSpeed, também estão incluídos no alerta divulgado pelo projeto.
WordPress está em risco? Veja as versões corrigidas
Sites WordPress podem ser afetados porque dependem do PHP para executar parte de suas funções. No entanto, as vulnerabilidades descritas estão na linguagem utilizada pelo servidor, e não diretamente no código principal do sistema de gerenciamento de conteúdo.
O projeto WordPress informou que não há uma atualização específica do CMS prevista para corrigir essas falhas. A solução precisa ser aplicada ao PHP ou ao pacote fornecido pelo responsável pela infraestrutura.
As versões indicadas pelo projeto PHP como corrigidas são:
- PHP 8.5: versão 8.5.12.
- PHP 8.4: versão 8.4.27.
- PHP 8.3: versão 8.3.36.
- PHP 8.2: versão 8.2.35.
- PHP 8.1 ou anterior: é necessário migrar para uma linha com suporte ou confirmar a aplicação de uma correção mantida pelo fornecedor.
Essas referências devem ser conferidas com os comunicados oficiais e os pacotes disponibilizados para cada ambiente. Distribuições Linux e empresas que oferecem suporte prolongado podem aplicar correções retroativas, conhecidas como backports, sem alterar o número principal da versão instalada.
Por isso, encontrar uma numeração anterior à lista não comprova, por si só, que o servidor continua vulnerável. O administrador deve verificar a identificação do pacote e a documentação de segurança do fornecedor.
Como verificar a versão do PHP no WordPress?
Quem administra um site WordPress pode consultar a versão do PHP diretamente no painel administrativo. O procedimento ajuda a identificar o ambiente em uso, embora não confirme sozinho se o fornecedor aplicou uma correção retroativa.
- Entre no painel administrativo do WordPress.
- Acesse Ferramentas > Diagnóstico.
- Abra a aba Informações.
- Expanda a seção Servidor.
- Localize o campo referente à versão do PHP.
Depois da consulta, compare a informação com as versões corrigidas e entre em contato com a hospedagem se houver dúvidas. Mesmo que o painel mostre uma versão antiga, solicite confirmação sobre eventuais patches aplicados pelo fornecedor.
Como proteger o site contra ataques?
A prioridade é garantir que o PHP utilizado pelo site tenha recebido a correção correspondente. O procedimento varia conforme o tipo de hospedagem e o nível de acesso que o administrador possui ao servidor.
- Consulte a hospedagem: pergunte se as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 foram corrigidas no plano contratado.
- Atualize o ambiente: instale uma versão corrigida ou um pacote com patch documentado pelo fornecedor. Em servidores próprios, verifique também contêineres e serviços que executam PHP.
- Faça backup: preserve os arquivos e o banco de dados antes de mudanças relevantes. Em migrações entre versões principais, teste a compatibilidade da aplicação, dos temas e dos plugins.
- Não dependa apenas do firewall: um firewall de aplicação pode ajudar a reduzir a exposição, mas não substitui a instalação da correção de segurança.
- Restrinja o acesso se necessário: caso a correção não possa ser aplicada imediatamente, avalie com a equipe técnica limitar o acesso público ou suspender temporariamente o serviço exposto.
Se houver sinais de invasão, como arquivos desconhecidos, redirecionamentos inesperados ou contas administrativas não reconhecidas, a equipe responsável deve investigar o ambiente, preservar registros e revisar credenciais. Esses indícios, isoladamente, não comprovam que as falhas recém-divulgadas foram a causa do incidente.
O alerta também vale para o Brasil
O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou a Recomendação Técnica 19/2026 em 21 de outubro. O documento orienta organizações a identificar aplicações que utilizam PHP, priorizar as atualizações e considerar restrições temporárias de acesso quando não for possível corrigir sistemas expostos à internet.
A Hostinger informou que, segundo testes realizados em seus ambientes de hospedagem gerenciada, sua plataforma não estava vulnerável aos ataques conhecidos como PHP2Shell. A empresa também comunicou a adoção de proteções adicionais e a distribuição das versões corrigidas.
Em atualização publicada às 16h12, no horário de Brasília, a Hostinger informou ter concluído uma etapa de proteção do Agency Hosting e que trabalhava nos demais servidores gerenciados. A declaração se limita aos ambientes descritos pela empresa e não garante a segurança de servidores virtuais privados administrados pelos próprios clientes nem de serviços contratados de outros provedores.
Quem mantém um site deve consultar o status do serviço contratado e solicitar informações específicas sobre as correções. O uso de PHP, por si só, não significa que a página tenha sido comprometida.
Quem apenas acessa sites precisa tomar medidas?
As vulnerabilidades estão relacionadas ao processamento realizado nos servidores, e não diretamente ao navegador ou ao celular dos visitantes. Limpar o cache, instalar aplicativos ou trocar a senha do aparelho não corrige as falhas no PHP.
Como precaução geral, usuários devem evitar páginas com comportamento suspeito e desconfiar de solicitações inesperadas de login ou pagamento. Se uma empresa informar que houve exposição de dados, as medidas recomendadas devem seguir as orientações específicas do serviço afetado.
Perguntas frequentes sobre as falhas no PHP
Todo site que utiliza PHP foi invadido?
Não. As vulnerabilidades representam um risco para instalações afetadas, mas a existência de uma falha não comprova uma invasão. A exposição depende da versão, das correções e da configuração do servidor.
Atualizar os plugins do WordPress resolve o problema?
Não. Atualizar o sistema, os temas e os plugins é importante, mas as falhas divulgadas em 21 de outubro de 2026 exigem uma correção no PHP ou no pacote mantido pelo fornecedor do servidor.
Quais versões do PHP estão corrigidas?
As versões divulgadas pelo projeto são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Fornecedores também podem distribuir patches retroativos para outros pacotes, por isso é importante conferir a documentação de segurança do ambiente.
Se o site ficou fora do ar, a causa são as vulnerabilidades?
Não é possível afirmar isso apenas pela indisponibilidade. Manutenções, falhas de hospedagem e outros problemas técnicos também podem interromper um serviço. Consulte o provedor e analise os registros antes de atribuir a causa às vulnerabilidades.
Fontes: comunicados do projeto PHP e do WordPress Brasil, recomendação técnica do CTIR Gov, página de status da Hostinger e estatísticas da W3Techs. Informações referentes a 21 de outubro de 2026.
Receba em primeira mão nossas notícias, tendências e exclusivas.
