Terça-feira, 21 de outubro, 14:00 UTC · ilustração
A equipe de segurança do PHP publica uma atualização de emergência. Na Holanda, sites do governo saem do ar por algumas horas, por precaução. Nos EUA, a CISA, a agência federal de cibersegurança, manda atualizar imediatamente. A dona de uma clínica está encerrando o dia e não ficou sabendo de nada. O site dela roda no PHP 8.1.
Às 17:20, chega uma mensagem para ela: "Foi divulgada uma falha crítica no software que roda o seu site. A sua versão já não recebe atualizações normais. O backup já está pronto, e testei a mudança para uma versão corrigida numa cópia do site. Atualizo hoje à noite?"
Em 21 de outubro de 2026, veio a público uma falha grave que atinge todos os sites WordPress do mundo. Ela não está no WordPress em si, mas no PHP, o software em que todo site WordPress roda. No dia da divulgação, praticamente todas as versões do PHP da 5.4 em diante estavam vulneráveis, inclusive todas as versões que o WordPress suporta. A falha, apelidada de PHP2Shell, permite que um invasor execute código no servidor do site, sem usuário e sem senha. Neste artigo, explicamos o que aconteceu, como verificar se o seu site ainda está exposto e o que um agente de IA conectado ao site faria por você antes mesmo de você saber que havia um problema.
Em resumo
- O que aconteceu: duas falhas no próprio PHP (CVE-2026-109618 e CVE-2026-109619), com gravidade 9,2 de 10. Um invasor pode assumir o controle do servidor sem fazer login.
- Quem está exposto: todo site que roda numa versão do PHP que não foi atualizada, inclusive WordPress, Joomla e WooCommerce. Atualizar o WordPress ou os plugins não corrige a falha.
- O que fazer: verificar a versão do PHP. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A versão 8.1 e as anteriores já não recebem atualizações normais, e é preciso migrar para uma versão nova.
- A lição: o intervalo entre a divulgação de uma falha e as tentativas de invasão se mede em horas. Um agente de IA conectado ao site verifica, faz backup e atualiza nesse tempo, mesmo quando o dono do negócio não sabe o que é PHP.
O que é o PHP2Shell, em linguagem simples
Pense no seu site como um carro. O WordPress, o tema e os plugins são a lataria, o painel e os bancos: o que se vê. O PHP é o motor debaixo do capô. Toda vez que alguém entra no site, o PHP executa o código e monta a página para essa pessoa.
O PHP2Shell é um defeito no próprio motor. O invasor envia ao site uma única requisição preparada sob medida, que deixa a memória do PHP num estado corrompido. A partir desse estado, dá para executar código no servidor. Segundo o comunicado do PHP, em instalações do tipo mod_php o ataque pode funcionar antes mesmo de o código do site rodar. Ou seja, não importa o quanto o seu WordPress esteja atualizado nem qual plugin de segurança você instalou: o motor é invadido antes de eles começarem a trabalhar.
E o que um invasor faz com um servidor que ele controla? Planta código malicioso no site, rouba dados de clientes, usa o servidor para disparar spam ou simplesmente o derruba. Segundo o The Hacker News, a falha também permite ler a memória do servidor, onde podem estar senhas, chaves de API e dados de pagamento de outras requisições, mesmo sem assumir o controle do servidor.
Fontes: W3Techs (23/10/2026), comunicado de segurança do PHP (CVSS v4.0), Help Net Security, com dados da Amazon Threat Intelligence.
Por que desta vez é mais grave do que uma falha comum
Falhas são descobertas toda semana. A maioria está num plugin ou num tema específico e só afeta quem os usa. O PHP2Shell é diferente em quatro pontos:
- Está na base, não num plugin. Segundo o PHP, toda instalação que serve sites é afetada: PHP-FPM, Apache, LiteSpeed e outras. O código problemático está no PHP há mais de uma década.
- Não precisa de senha. Não é preciso ter conta no site, nem um formulário específico, nem um plugin vulnerável. Basta uma requisição vinda de fora.
- Os invasores chegaram antes da correção. A Amazon registrou uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação. Detalhes vazaram antes da data, e o PHP antecipou a correção em um dia. No próprio dia da divulgação, a empresa watchTowr relatou tentativas ativas de exploração em questão de horas.
- A IA encurtou o caminho até a invasão. Segundo o The Hacker News, os pesquisadores que descobriram as falhas (Wiz, Calif e a equipe Codex Security da OpenAI) disseram que modelos de IA os ajudaram a transformar o bug num ataque funcional. Um único pesquisador fez em uma semana um trabalho que levaria meses para uma equipe. Os invasores usam as mesmas ferramentas.
E há outro problema, mais silencioso. Mesmo depois da correção, muitos sites não vão recebê-la:
Sites em PHP por versão principal
Fonte: W3Techs, 23/10/2026. As versões 7 e 5 não têm correção oficial. O PHP publicou correções mínimas em código-fonte para 7.4, 8.0 e 8.1, destinadas a quem compila o PHP por conta própria. Mesmo dentro do PHP 8, só a 8.2 e as posteriores recebem atualização normal.
Cerca de um terço dos sites em PHP roda na versão 7 ou 5. Na maioria deles, o dono do negócio nem sabe disso. O site foi feito há cinco ou oito anos, funciona, e ninguém mexeu no motor desde então.
Atualizei o WordPress. Não basta?
Não. Esse é o erro mais comum que vamos ver nos próximos dias, e o The Hacker News faz questão de destacá-lo: atualizar um aplicativo como o WordPress não atualiza o PHP. Quem fornece o PHP é a empresa de hospedagem, o servidor ou a imagem de instalação do servidor.
Atualizar WordPress e plugins
Feito no painel do site, com um clique.
- Fecha falhas em plugins e no tema
- Não mexe na versão do PHP
- Não protege contra o PHP2Shell
Atualizar o PHP
Feito no servidor ou no painel da hospedagem.
- Fecha o PHP2Shell
- Mudar de versão principal (por exemplo, da 7.4 para a 8.3) pode quebrar plugins antigos
- Exige backup e teste antes
A boa notícia: algumas empresas de hospedagem já cuidaram disso. A SiteGround, por exemplo, informou que os clientes dela estão protegidos e não precisam fazer nada. Mas isso não vale para todas as empresas, e muito menos para um servidor próprio ou um VPS que alguém configurou para você há alguns anos e depois esqueceu.
Como verificar se o seu site está exposto à falha do PHP
Siga a lista. Leva cerca de quinze minutos, e não é preciso saber programar.
Verificação do PHP2Shell no seu site
Se você marcou tudo, está em boa situação. Se travou já no primeiro item, é exatamente para esse caso que escrevemos o resto do artigo.
Como um agente de IA cuidaria do PHP2Shell sem você precisar saber o que é PHP
A maioria dos donos de negócio não lê alertas da CISA. Eles não sabem qual versão do PHP roda no site, e não há motivo para saberem. A dona de uma clínica precisa cuidar dos pacientes, não do motor do site.
Um agente de IA conectado ao site, ao servidor e à conta de hospedagem trabalha de outro jeito. Ele já sabe o que roda no seu site, então, quando sai uma falha, não precisa começar a investigar do zero. Veja como isso fica no dia da divulgação. O exemplo é uma ilustração:
17:05 · A falha é divulgada
Identifiquei um comunicado de segurança crítico do PHP. Verifiquei o seu servidor:
- O site roda no PHP 8.1, que já não recebe atualizações normais
- O último backup é de ontem à noite. Acabei de fazer mais um e conferi que ele abre
- Confirmei que as regras de proteção temporárias do Cloudflare estão ativas no site
17:20 · Teste numa cópia
Copiei o site para um ambiente de teste e passei a cópia para o PHP 8.4.27. A página inicial, o formulário de contato e o sistema de agendamento estão funcionando. Um plugin antigo mostrou um aviso, e já existe uma versão nova dele que é compatível.
✓ Backup pronto · ✓ Testado numa cópia · Aguardando a sua aprovação
Não entendi tudo, mas se você testou, pode atualizar.
23:00 · Horário de pouco movimento no site
Atualizei o plugin e passei o site no ar para o PHP 8.4.27. O site ficou disponível o tempo todo.
✓ PHP atualizado · ✓ 6 páginas principais verificadas · ✓ Mensagem do formulário chegou no e-mail
23:40 · Verificação final
Revisei os logs do servidor de 17 de outubro em diante. Não encontrei sinais de tentativa de exploração. Anotei tudo o que foi feito no registro de atividades do site. Amanhã de manhã confiro de novo se está tudo estável.
Ilustração. Numa conversa real, o agente adapta as verificações ao seu site e só age dentro das permissões que você definiu.
Repare no que a dona do negócio fez em toda essa história: leu duas mensagens e respondeu com uma frase. Ela não aprendeu o que é PHP, não procurou tutoriais e não esperou um profissional ter horário na semana seguinte.
O que o agente faz sozinho e o que espera aprovação
Isso é definido com antecedência, uma única vez. A configuração que recomendamos para atualizações do PHP:
Atualização de segurança do PHP com um agente de IA
- Detecta e verificaAcompanha os comunicados de segurança e verifica se a sua versão está vulnerável. Sozinho, a qualquer momento.
- Faz backup e testa numa cópiaBackup completo e, depois, a atualização num ambiente de teste. Sozinho.
- A sua aprovaçãoNa mudança entre versões principais. Uma correção de segurança dentro da mesma versão pode ser aprovada com antecedência.
- Atualiza e informaAtualização no site no ar, nova verificação e registro de tudo. Se algo quebrar, o site volta ao backup.
Ou seja, se o seu site roda no PHP 8.3.30 e você já tinha aprovado com antecedência as correções de segurança dentro da mesma versão, o agente atualizaria para a 8.3.36 sem perguntar. Você receberia uma única mensagem depois: "Saiu uma falha crítica, o site foi atualizado, tudo foi verificado". É exatamente o cenário em que o site fica protegido antes de o dono do negócio sequer ouvir a palavra PHP.
Onde o agente não basta
- Em hospedagem compartilhada sem acesso ao servidor, o agente não consegue atualizar o PHP sozinho. Ele pode verificar, trocar a versão no painel se tiver acesso a ele e procurar a hospedagem com a pergunta exata. Ainda assim, é muito mais do que acontece hoje na maioria dos negócios.
- Num site muito antigo em PHP 5, com código feito sob medida, às vezes é preciso reescrever uma parte. O agente identifica isso e mapeia o que vai quebrar, mas é um trabalho de alguns dias, não de uma noite.
- Um agente não substitui uma boa hospedagem. Uma hospedagem que corrige por conta própria é a primeira camada de proteção. O agente é quem confere que isso de fato aconteceu.
A nossa opinião: todo negócio com site vai precisar de um agente que cuide disso
O PHP2Shell não será a última falha. O que mudou foi o ritmo.
A falha em si ficou no código por mais de uma década. O que encurtou o caminho entre o bug e um ataque funcional foi a IA. De um lado, os pesquisadores que a encontraram trabalharam com modelos. Do outro, tentativas de exploração apareceram antes mesmo da divulgação oficial. Quando um ataque é montado em uma semana e se espalha em horas, o dono de negócio que fica sabendo de uma falha por uma notícia duas semanas depois já está atrasado.
Até hoje, a solução era "alguém que cuida do site": um freelancer, uma agência que faz sites ou um parente que entende de computador. Isso funcionava quando havia semanas para reagir. Não funciona quando a reação precisa acontecer numa terça-feira à noite, com todo mundo já em casa.
Nós achamos que, nos próximos anos, um agente de IA conectado ao negócio vai ser algo básico, como a contabilidade. Não porque a IA esteja na moda, mas porque os invasores já trabalham com IA, e a defesa precisa trabalhar no mesmo ritmo. Um agente assim não cuida só do PHP. Ele está conectado ao site, ao Google, às campanhas e ao conteúdo, e percebe quando há um problema em qualquer um deles. A questão não é se os negócios vão precisar dele, e sim quantas falhas vão passar até eles perceberem.
Perguntas frequentes
O que é o PHP2Shell?
PHP2Shell é o apelido de duas falhas de segurança críticas no PHP, CVE-2026-109618 e CVE-2026-109619, corrigidas em 21 de outubro de 2026. Elas permitem que um invasor execute código no servidor do site sem fazer login e recebem nota de gravidade 9,2 de 10. A correção está nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
O meu site WordPress está exposto à falha do PHP?
Se o site roda numa versão do PHP que não recebeu a correção, sim. O WordPress em si não é vulnerável, mas ele roda sobre o PHP, e a falha pode agir antes de o código do WordPress começar a trabalhar. Você confere a versão em Ferramentas → Saúde do site → Informações → Servidor e pergunta à hospedagem se o servidor foi corrigido.
Como atualizar a versão do PHP?
Na hospedagem compartilhada, normalmente o painel tem uma opção para escolher a versão do PHP. Num servidor próprio, o pacote do PHP é atualizado pelo gerenciador de pacotes do servidor. Antes de qualquer mudança, faça um backup completo. Mudar de versão principal, por exemplo da 7.4 para a 8.3, pode quebrar plugins antigos, então vale testar antes numa cópia do site.
E se eu não puder atualizar agora?
Segundo o PHP, não existe alternativa completa à atualização. Há configurações que reduzem o risco, e firewalls como o Cloudflare acrescentaram regras de proteção temporárias. A CISA recomenda tirar do ar os sistemas que não puderem ser atualizados imediatamente. Para o site de um pequeno negócio, o passo prático é pedir à hospedagem que migre você para uma versão corrigida ainda hoje.
Um agente de IA consegue atualizar o PHP sozinho?
Sim, se estiver conectado ao servidor ou ao painel da hospedagem e tiver recebido permissão. A configuração certa: ele detecta, faz backup e testa sozinho, aplica correções de segurança dentro da mesma versão se você tiver aprovado isso com antecedência e pergunta a você antes de mudar de versão principal. Toda ação fica registrada no histórico, e há um backup para voltar.
Um agente de IA não acaba criando um risco de segurança?
Um agente com acesso ao servidor é mais alguém com as chaves, por isso ele recebe a permissão mínima necessária, uma conta separada e uma chave própria, nunca uma senha compartilhada. A comparação certa não é agente contra risco zero, e sim agente contra um servidor que ninguém verifica. Um site com PHP antigo em que ninguém mexe é um risco muito maior.
Fontes
- https://www.php.net/
- https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws
- https://www.siteground.com/blog/critical-php-vulnerabilities-october-2026
- https://w3techs.com/technologies/details/pl-php
