PHP corrige duas falhas críticas: confira a versão do seu site

Em 21 de outubro de 2026, o projeto PHP publicou um alerta de segurança sobre duas falhas críticas que permitem execução remota de código sem autenticação. Na prática, alguém pode rodar comandos no servidor do seu site sem fazer login.

O que aconteceu

As falhas CVE-2026-109618 e CVE-2026-109619 receberam nota 9.2 no CVSS 4.0, o que as classifica como críticas. CVE é o número público que identifica uma vulnerabilidade, e CVSS é a escala de gravidade que vai de 0 a 10.

Elas afetam toda instalação PHP que atende requisições web, incluindo PHP-FPM, mod_php do Apache, php-cgi, FrankenPHP e LiteSpeed. O risco é maior no mod_php. "PHP2Shell" é o apelido usado pela imprensa e pela CISA.

O que muda na prática

Se você tem um site em WordPress ou PHP, confira a versão no painel da hospedagem, por exemplo no cPanel em "Selecionar versão do PHP", ou no WordPress em Ferramentas > Saúde do site > Informações > Servidor.

As versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Se a sua estiver abaixo da corrigida na mesma série, peça a atualização à hospedagem. Se o PHP vem de um pacote de distribuição Linux ou da hospedagem, confira o pacote do fornecedor. A orientação oficial é atualizar imediatamente, porque não há mitigação completa. A versão 8.1 e as anteriores não recebem mais atualizações do projeto, apenas correções mínimas de código-fonte para 7.4, 8.0 e 8.1.

Ressalva

A CISA não tinha observado exploração até a publicação do alerta. Segundo o CERT-EU, começaram a circular provas de conceito, mas isso não foi confirmado pelo PHP.

Próximo passo

Hoje mesmo, veja a versão do PHP do seu site e, se estiver abaixo da corrigida, abra um chamado pedindo a atualização à hospedagem.