Falha crítica no PHP pode permitir invasão de sites; veja como se proteger

Duas falhas de segurança identificadas no PHP, uma das linguagens de programação utilizadas na construção de sites e sistemas web, levou à publicação de atualizações emergenciais nesta quarta-feira (21 de outubro). As vulnerabilidades podem permitir que invasores executem códigos remotamente em servidores sem precisar de uma conta ou senha.

As falhas foram identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619 e são conhecidas em conjunto como PHP2Shell. Segundo a equipe responsável pelo PHP, o problema é considerado crítico, e a orientação é atualizar os ambientes afetados o mais rápido possível.

O risco não se limita a sites desenvolvidos sob medida. Plataformas como WordPress, Drupal, Magento e sistemas construídos com frameworks como Laravel também podem estar expostos quando executados em versões vulneráveis do PHP. Isso ocorre porque a falha está no próprio ambiente de execução da linguagem, e não necessariamente no código do site, segundo a equipe oficial do PHP.

O que um invasor pode fazer?

O PHP é utilizado para processar informações nos servidores, como formulários, acessos de usuários, consultas ao banco de dados e páginas dinâmicas. As falhas identificadas envolvem problemas na forma como o sistema gerencia a memória durante o processamento de requisições.

Na prática, um invasor pode enviar uma solicitação especialmente preparada ao servidor e, em determinadas condições, conseguir executar comandos sem precisar fazer login.

Dependendo das permissões disponíveis no servidor, isso pode abrir caminho para acessar informações, modificar arquivos, comprometer aplicações ou tentar obter dados armazenados no ambiente.

Isso não significa que todos os sites desenvolvidos em PHP tenham sido invadidos. Significa que os ambientes que utilizam versões vulneráveis precisam ser avaliados e corrigidos com urgência.

Sites em WordPress e Laravel também podem estar vulneráveis?

Sim. Como o problema está no núcleo do PHP, atualizar apenas o WordPress, seus plugins ou o Laravel não é suficiente para corrigir a falha na linguagem.

A exposição depende da versão instalada, da configuração e do modo como o PHP é executado no servidor. A equipe oficial alerta para instalações que atendem requisições web, incluindo ambientes com PHP-FPM e Apache.

Sites hospedados em servidores próprios, máquinas virtuais, serviços de hospedagem compartilhada e contêineres Docker também devem verificar qual versão está efetivamente em uso.

Quais versões receberam correções?

A equipe do PHP publicou versões de segurança em 21 de outubro de 2026.

As atualizações divulgadas incluem:

1. PHP 8.5: versão 8.5.12;
2. PHP 8.4: versão 8.4.27;
3. PHP 8.3: versão 8.3.36;
4. PHP 8.2: versão 8.2.35.

Administradores devem conferir as orientações do fornecedor do sistema operacional ou da hospedagem, pois alguns ambientes recebem correções por meio de pacotes próprios. Instalações antigas também precisam de atenção, já que podem não receber atualizações de segurança regulares.

A lista de versões corrigidas e os comunicados técnicos estão disponíveis no site oficial do PHP.

O que os donos de sites devem fazer agora?

A recomendação é entrar em contato com a empresa responsável pela hospedagem ou com o desenvolvedor do site e solicitar uma verificação imediata.

Entre as principais medidas estão:

1. Verificar a versão do PHP: confirmar qual versão está sendo utilizada pelo site, e não apenas pelo terminal do servidor.
2. Instalar a atualização de segurança: aplicar a versão corrigida compatível com o ambiente e reiniciar os serviços necessários.
3. Verificar todos os ambientes: conferir sites, APIs, sistemas administrativos e aplicações que compartilham o mesmo servidor.
4. Investigar possíveis invasões: analisar logs e outros indicadores de comprometimento, especialmente se o sistema permaneceu exposto antes da atualização.
5. Revisar credenciais se houver indícios de invasão: avaliar senhas, chaves de API, tokens e outros segredos que possam ter sido expostos.

Segundo o comunicado oficial, não há uma mitigação alternativa completa que substitua a atualização. Por isso, apenas instalar um plugin de segurança ou ativar um firewall não deve ser considerado suficiente.

Como saber se meu site está em risco?

O primeiro passo é identificar a versão do PHP utilizada pelo servidor. Em sites hospedados, essa informação pode aparecer no painel de controle, mas a confirmação deve ser feita pela equipe técnica, principalmente quando existem diferentes versões ou serviços executando a aplicação.

Se o site utiliza uma versão vulnerável, é necessário avaliar a atualização imediatamente. Caso haja suspeita de comprometimento, corrigir a falha é apenas uma parte da resposta: também é preciso investigar se houve acesso indevido.

A principal recomendação para empresas e proprietários de sites é não adiar a verificação. Uma atualização de segurança pode ser decisiva para reduzir o risco de invasão e proteger os dados armazenados nos sistemas.