O PHP vai liberar nesta quarta-feira, 21 de outubro de 2026, uma atualização de segurança emergencial para corrigir duas falhas críticas: CVE-2026-109618 e CVE-2026-109619. As duas têm nota 9,2 de 10 na escala de gravidade CVSS v4.0. Segundo pesquisadores de segurança, elas permitem execução remota de código: um invasor poderia rodar comandos no servidor pela internet. Uma ferramenta de ataque já circula e as primeiras tentativas de exploração foram relatadas.
O PHP é a linguagem por trás do WordPress, WooCommerce, Joomla, Magento e da grande maioria dos sites hospedados na SAN Internet. Neste post explicamos o que aconteceu, quais são os riscos, o que a SAN está fazendo e o que você deve fazer hoje.
O que aconteceu
A correção foi antecipada em um dia porque informações sobre as falhas vazaram antes da hora.
Normalmente, falhas graves passam por um período de sigilo, chamado embargo. Nesse período, a equipe do PHP prepara as correções junto com distribuições Linux, provedores de hospedagem e empresas de segurança, para que tudo seja publicado ao mesmo tempo. A divulgação estava combinada para quinta-feira, 22 de outubro.
- 20/10, início da tarde: uma publicação no fórum Hacker News citou duas falhas de execução remota no PHP, com nota 10,0, afetando todas as versões desde o PHP 5. O autor admitiu não ter provas, mas o assunto se espalhou pelas redes.
- 20/10, à tarde: a empresa de segurança watchTowr, que fazia parte do embargo, confirmou que as falhas são reais e pediu que todos apliquem as correções assim que saírem.
- 20/10: a equipe de segurança do PHP publicou um aviso oficial no php.net antecipando a correção para quarta-feira, 21/10. O PHP avisou que pode liberar antes, caso os detalhes técnicos se tornem públicos ou surjam ataques.
- 21/10, madrugada: a Cloudflare informou que já vê as primeiras tentativas de ataque contra sites em PHP e publicou regras de firewall para barrar os vetores conhecidos.
- 21/10: publicação prevista das versões corrigidas, com a lista oficial de versões afetadas.
O risco do vazamento é simples: quem já conhecia as falhas sabe exatamente quanto tempo tem até as correções chegarem.
Por que é grave
Execução remota de código é o tipo de falha mais perigoso que existe para um site: significa que alguém, de fora, consegue fazer o servidor obedecer a comandos dele. Segundo os pesquisadores, o problema está no núcleo do PHP, e não em um plugin ou tema específico. Por isso, manter o WordPress e os plugins atualizados, por si só, não protege contra essa falha.
Na prática, um invasor que explore esse tipo de falha pode:
- Roubar dados: cadastros de clientes, pedidos, senhas e qualquer informação do banco de dados, com consequências diretas perante a LGPD.
- Instalar programas maliciosos: portas dos fundos (backdoors) que permitem voltar mesmo depois de o problema ser corrigido.
- Alterar o site: trocar páginas, inserir links de spam ou redirecionar seus visitantes para golpes.
- Usar seu site para outros ataques: envio de spam, phishing ou ataques a terceiros, o que pode colocar seu domínio e seus e-mails em listas de bloqueio.
- Sequestrar arquivos: criptografar o conteúdo e exigir resgate (ransomware).
O cenário piorou rápido. Junto com as primeiras notícias vazou a imagem de uma ferramenta de ataque chamada PHP2Shell, que promete explorar as falhas em qualquer versão desde o PHP 5.4, e na madrugada de 21/10 a Cloudflare relatou as primeiras tentativas de ataque. Os desenvolvedores do PHP foram diretos: nenhum ajuste de configuração resolve, a única proteção real é atualizar. Por isso, a atualização precisa acontecer hoje, e não na próxima semana.
Cuidado: códigos que dizem explorar a falha já aparecem em fóruns e redes sociais, sem nenhuma verificação. Esse tipo de arquivo costuma vir com vírus embutido; não baixe nem rode nada disso para “testar” o seu site.
Quem é afetado
O PHP só vai confirmar as versões afetadas e corrigidas quando liberar a correção. Pelos relatos públicos, todas as versões desde o PHP 5 estariam vulneráveis, mas apenas as versões 8 que ainda têm suporte devem receber correção oficial.
| Versão do PHP | Situação esperada | O que fazer |
|---|---|---|
| 8.2, 8.3, 8.4 e 8.5 | Devem receber correção oficial hoje. As versões atuais (8.5.11, 8.4.26, 8.3.35 e 8.2.34, de 24 de setembro) são anteriores à correção | Atualizar hoje, dentro da mesma série |
| 8.0 e 8.1 | Fora do suporte de segurança. O PHP não informou se haverá correção | Migrar para 8.2 ou superior |
| 7.x e 5.x | Sem suporte há anos. Não devem receber correção | Migrar para 8.2 ou superior com urgência |
Ainda não se sabe qual função, extensão ou configuração do PHP é afetada, nem se a falha exige login ou alguma ação do usuário. O CERT-EU, órgão de resposta a incidentes da União Europeia, observa que a nota de gravidade indica possibilidade de ataque sem autenticação.
O que a SAN Internet está fazendo
Nos planos cloud de hospedagem compartilhada, revendas cloud e servidores gerenciados, a SAN aplica a correção por você assim que ela estiver disponível.
- Inventário: levantamos as versões de PHP em uso em todos os servidores de hospedagem.
- Acompanhamento: monitoramos os canais oficiais do PHP e dos fornecedores do sistema operacional e do painel de controle, para receber os pacotes corrigidos assim que forem publicados.
- Atualização: aplicaremos as versões corrigidas em todos os servidores, inclusive fora do horário comercial, e reiniciaremos os serviços do PHP para garantir que a versão nova esteja de fato em uso.
- Monitoramento reforçado: nossas camadas de proteção (firewall de aplicação e antimalware) estão em atenção para tentativas de exploração.
- Sites em versões sem correção: tomaremos as medidas cabíveis para proteger os clientes e os servidores. Em casos extremos, isso pode incluir o bloqueio do acesso a sites que continuem em versões anteriores ao PHP 8.2.
Atenção para suas responsabilidades: a SAN cuida da infraestrutura dos servidores e mantém atualizadas as versões do PHP disponíveis. A escolha da versão usada pelo site é feita pelo próprio cliente, no cPanel. O código-fonte do site, ou seja, WordPress ou outro sistema, temas, plugins e desenvolvimentos próprios, também é responsabilidade do cliente, assim como mantê-lo atualizado e compatível com versões suportadas do PHP.
Em VPS e servidores dedicados não gerenciados, a atualização do PHP é responsabilidade do cliente. Nosso suporte pode orientar o processo; basta abrir um chamado.
O que você deve fazer agora
A ação mais importante é garantir que seu site use uma versão do PHP que receba a correção: 8.2 ou superior.
Se seu site está na hospedagem compartilhada ou revenda da SAN
- Confira a versão do PHP do seu site no cPanel, na seção Software, pela opção de seleção de versão do PHP.
- Se estiver em 8.2 ou superior, a SAN aplica a correção do PHP nos servidores. Do seu lado, continue mantendo o site, temas e plugins atualizados.
- Se estiver em 8.1 ou anterior, planeje a troca para 8.2 ou superior, de preferência 8.3 ou mais recente.
- Antes de trocar a versão, atualize o WordPress (ou outro sistema), temas e plugins, e confirme que existe um backup recente.
- Depois de trocar, navegue pelo site e teste formulários, carrinho e área administrativa. Se algo quebrar, volte à versão anterior e fale com nosso suporte.
Se você administra seu próprio VPS ou servidor
- Faça o inventário: anote todas as versões de PHP instaladas no servidor, não só a padrão. É comum haver várias versões convivendo.
- Reserve uma janela de manutenção para hoje, logo depois da liberação da correção.
- Atualize pelo canal da sua distribuição ou repositório assim que os pacotes corrigidos forem publicados. Pode haver algumas horas de atraso em relação ao lançamento oficial.
- Reinicie o PHP-FPM e o servidor web e confirme que a versão nova está em execução. A versão da linha de comando pode ser diferente da que atende o site.
- Se não puder atualizar logo, restrinja a IPs confiáveis o acesso a sistemas que não precisam ser públicos, como painéis administrativos e sistemas internos, e considere tirar do ar temporariamente aplicações expostas que não puderem ser corrigidas.
Em todos os casos, fique atento
- Sinais de invasão: arquivos .php que você não reconhece, novos usuários administradores, páginas alteradas, aumento repentino no envio de e-mails ou lentidão incomum.
- Golpes aproveitando a notícia: criminosos costumam enviar e-mails falsos pedindo para “atualizar o PHP” clicando em um link ou informando senhas. Na dúvida, não clique e fale com a SAN pelos canais oficiais.
Perguntas frequentes
Se ele roda em PHP, potencialmente sim. A falha está no próprio PHP, não no WordPress. Por isso, plugins de segurança e um WordPress atualizado não bastam: o que resolve é atualizar o PHP.
Se seu site usa PHP 8.2 ou superior, a correção do PHP fica por nossa conta. Manter o site, temas e plugins atualizados continua sendo responsabilidade sua. Se usa 8.1 ou anterior, siga o passo a passo acima ou fale com o suporte.
Atualizações dentro da mesma série (por exemplo, de uma versão 8.3 para outra 8.3 mais nova) corrigem falhas sem mudar o funcionamento da linguagem. Pode haver um reinício rápido dos serviços. Já a troca de série, como de 7.4 para 8.3, exige testes, porque sistemas antigos podem ter incompatibilidades.
Sim, as primeiras. Na madrugada de 21/10, a Cloudflare informou ver tentativas de ataque contra sites em PHP, e uma ferramenta de exploração chamada PHP2Shell já circula. A tendência é piorar quando os detalhes técnicos forem divulgados junto com a correção.
A nota oficial do PHP é 9,2 na escala CVSS v4.0, o que já é crítico. A nota 10,0 circulou em publicações vazadas, sem fonte confirmada.
Próximas atualizações
Este post será atualizado assim que o PHP liberar a correção, com as versões afetadas e corrigidas publicadas oficialmente. Se tiver dúvidas sobre o seu site, fale com o suporte da SAN Internet.
Fontes
- PHP: aviso oficial “Upcoming Critical PHP Security Release” (20/10/2026)
- Cyber Kendra: PHP RCE Zero-Days CVE-2026-109618, CVE-2026-109619 Leak Early
- Tenable: perguntas frequentes sobre o PHP2Shell
