Se o seu site foi feito em WordPress, se você tem uma loja virtual ou se ele funciona em uma hospedagem comum, fora da nosso serviço de hospedage da PK Digital Host, há grande chance de que ele dependa do PHP. E, nesta semana, o PHP virou notícia pelo motivo errado: uma falha no PHP tão séria que recebeu nota 9,2 de 10 na escala internacional de gravidade e obrigou equipes de tecnologia do mundo inteiro a correr contra o tempo.
A boa notícia é que já existe correção. A má notícia é que não adianta apenas atualizar o WordPress ou instalar um plugin: a proteção precisa acontecer no servidor onde o seu site mora. Neste artigo, explicamos tudo em linguagem simples, sem termos técnicos complicados, e mostramos o passo a passo para você proteger o seu negócio.
O que é o PHP e por que ele importa para o seu site?
Imagine o seu site como um restaurante. O visitante faz o pedido (abre uma página), e alguém precisa preparar o prato na hora. No mundo dos sites, essa “cozinha” muitas vezes é o PHP: uma linguagem de programação que monta cada página antes de entregá-la ao visitante.
O WordPress, o WooCommerce e muitos outros sistemas populares funcionam com PHP. Ou seja, mesmo que você nunca tenha ouvido falar dele, é provável que o seu site use essa tecnologia todos os dias, e que a segurança dela afete diretamente o seu negócio.
O que aconteceu: a falha no PHP em poucas palavras
Em 20 de outubro de 2026, a equipe responsável pelo PHP avisou que lançaria atualizações de emergência para corrigir duas vulnerabilidades críticas. No mesmo dia, informações sobre elas vazaram antes da divulgação oficial. As correções foram publicadas em 21 de outubro.
As duas falhas têm os códigos CVE-2026-109618 e CVE-2026-109619 e ficaram conhecidas pelo apelido PHP2Shell. Cada uma recebeu nota 9,2 na escala CVSS 4.0, usada mundialmente para medir a gravidade de falhas de segurança.
O que significa “execução remota de código”?
Esse é o tipo de problema que os especialistas apontam: a execução remota de código. Em português simples: um invasor, de qualquer lugar do mundo e sem precisar de senha, consegue fazer o servidor do seu site obedecer a comandos dele.
Uma comparação: é como se a porta dos fundos do seu restaurante estivesse destrancada. Ninguém precisa de chave para entrar, e quem entra pode mexer em tudo, de clientes e cadastros ao caixa.
Empresas de segurança relataram tentativas de ataque logo nos primeiros dias, e isso é comum nesses casos: robôs varrem a internet atrás de sites desatualizados, sem escolher o alvo.
Meu site corre risco?
A resposta depende da versão do PHP que a sua hospedagem usa. Segundo o aviso oficial do PHP, estão vulneráveis as versões anteriores a estas:
-
- PHP 8.5.12
-
- PHP 8.4.27
-
- PHP 8.3.36
-
- PHP 8.2.35
As versões 8.1 e anteriores já saíram da fase de suporte e não recebem correção oficial. Relatos não oficiais indicam que versões ainda mais antigas, a partir da 5.4, também podem ser afetadas. Se o seu site roda em uma versão assim, a recomendação é migrar para uma versão atual e corrigida.
Na dúvida, trate qualquer site em PHP que ainda não foi confirmado como atualizado como exposto.
O que pode acontecer com um site invadido?
Um site comprometido causa prejuízos que vão muito além do susto:
-
- Vazamento de dados de clientes, pedidos e formulários de contato;
-
- Páginas falsas e redirecionamentos para golpes, que destroem a confiança na sua marca;
-
- Envio de spam e malware a partir do seu domínio;
-
- Queda no Google: sites infectados podem ser marcados como perigosos, perdem visitas e posições nos resultados de busca;
-
- Site fora do ar durante dias, com perda de vendas e de contatos.
Para quem depende do site para captar clientes, o impacto vai direto para o faturamento e para a reputação.
Como descobrir a versão do PHP do seu site WordPress
Você não precisa ser programador para checar. Faça assim:
-
- Entre no painel do seu WordPress (o endereço costuma ser seusite.com.br/wp-admin);
-
- No menu lateral, clique em Ferramentas e depois em Saúde do site;
-
- Abra a aba Informações;
-
- Clique em Servidor e procure a linha Versão do PHP.
Anote o número que aparecer e compare com a lista da seção anterior. Um detalhe importante: algumas hospedagens aplicam a correção sem mudar o número da versão. Por isso, o mais seguro é pedir à sua hospedagem uma confirmação por escrito de que o site está protegido contra as falhas CVE-2026-109618 e CVE-2026-109619.
O que fazer agora: checklist de proteção em 6 passos
-
- Descubra quem cuida da sua hospedagem. Pode ser uma empresa de hospedagem, um profissional de TI ou a agência que fez o site. Essa pessoa ou empresa é quem tem acesso para atualizar o PHP.
-
- Peça a atualização do PHP para uma versão corrigida e solicite a confirmação por escrito.
-
- Faça um backup completo do site antes de qualquer mudança, para poder voltar atrás se algo der errado.
-
- Se o seu PHP é a versão 8.1 ou mais antiga, planeje a migração para uma versão atual e corrigida, de preferência testando primeiro em uma cópia do site (ambiente de testes).
-
- Mantenha o resto em dia: atualize o WordPress, os temas e os plugins. Isso não substitui a atualização do PHP, mas fecha outras portas.
-
- Fique atento a sinais de invasão: usuários administradores que você não criou, arquivos estranhos, redirecionamentos para outros sites, lentidão repentina ou avisos do Google sobre o site. Se notar algo, avise a hospedagem, troque as senhas e procure um profissional.
Mitos comuns sobre a falha no PHP
“Meu WordPress está atualizado, então estou protegido.” Não necessariamente. A falha está no PHP, que fica no servidor, e não no WordPress.
“Tenho um plugin de segurança instalado.” Plugins ajudam, mas não substituem a correção do PHP no servidor.
“Meu site é pequeno, ninguém vai atacar.” Os ataques costumam ser automáticos: robôs testam milhares de sites por hora, sem se importar com o tamanho do negócio.
“Vou esperar para ver se alguém é atacado.” Quando um ataque é descoberto, o prejuízo já aconteceu. Atualizar agora é muito mais barato do que recuperar um site invadido.
Perguntas frequentes sobre a falha no PHP
O que é a falha no PHP chamada PHP2Shell?
PHP2Shell é o apelido de duas vulnerabilidades críticas do PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. Elas permitem que um invasor execute comandos em um servidor sem precisar de senha.
Meu site WordPress é afetado pela falha no PHP?
Se a sua hospedagem usa uma versão do PHP anterior à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 e ainda não aplicou a correção, sim. O WordPress roda sobre o PHP, então depende da proteção do servidor.
Atualizar o WordPress resolve o problema?
Não. A correção precisa ser feita no PHP, que é controlado pela hospedagem ou pelo administrador do servidor. Atualizar o WordPress é importante, mas não resolve essa falha.
Como saber qual versão do PHP o meu site usa?
No painel do WordPress, acesse Ferramentas, depois Saúde do site, aba Informações, e abra a seção Servidor. A linha “Versão do PHP” mostra o número. Confirme também com a sua hospedagem.
O que fazer se o meu site usa PHP 8.1 ou mais antigo?
Essas versões não recebem correção oficial. A solução definitiva é migrar para uma versão atual e corrigida do PHP, testando antes em uma cópia do site e fazendo backup completo.
Conclusão: segurança de site é cuidado contínuo
A falha no PHP mostra algo que vale para qualquer negócio com presença digital: o site é um ativo que precisa de manutenção, assim como a sua loja física precisa de fechadura boa e alvará em dia. A boa notícia é que, com as informações certas e a ação rápida, o risco é controlável.
Se você não sabe quem cuida da hospedagem do seu site ou quer ajuda para entender se o seu negócio está protegido, fale com a PK Digital. Nossa equipe ajuda a identificar a situação e a conduzir os próximos passos com segurança.
Este artigo tem caráter informativo e reflete as informações públicas disponíveis em 23 de outubro de 2026. A situação pode evoluir: consulte o aviso oficial no site do PHP (php.net) e confirme os detalhes com o responsável pela sua hospedagem.
