Falha Crítica no PHP: o Que É o php2shell, Quem Está em Risco e Por Que Site Não Se Faz Sozinho

O que aconteceu com o PHP em outubro de 2026

Na terça-feira, 21 de outubro de 2026, a equipe do PHP publicou uma correção de emergência para duas vulnerabilidades críticas no núcleo da linguagem: a CVE-2026-109618 e a CVE-2026-109619. Os pesquisadores batizaram a combinação das duas de php2shell, porque ela transforma uma simples visita ao site em acesso de comando (o "shell") dentro do servidor.

As duas falhas receberam nota 9,2 de 10 na escala de gravidade CVSS. Na prática, um invasor pode executar código no servidor sem login e sem senha, com as mesmas permissões do processo que roda o site. A agência de cibersegurança dos Estados Unidos (CISA) emitiu alerta no mesmo dia pedindo atualização imediata de toda instalação de PHP que atenda requisições web.

O caso ganhou urgência porque os identificadores das falhas vazaram na internet em 20 de outubro, antes de a correção sair. Por isso a equipe do PHP antecipou para o dia 21 o lançamento previsto para o dia 22. A Amazon relatou uma tentativa de exploração em sua rede de servidores-isca já em 17 de outubro, quatro dias antes da divulgação, e novas tentativas a partir do dia 21.

Por que isso afeta tanta gente

O PHP é a linguagem por trás da maior parte da internet. Segundo a W3Techs, ele está em cerca de 69% dos sites cuja linguagem de servidor é conhecida. É PHP que roda o WordPress, o Joomla, o Drupal, o Magento e boa parte das lojas virtuais, blogs e sites institucionais de pequenas empresas no Brasil.

Pesquisadores estimam mais de 1,3 milhão de servidores expostos na internet potencialmente vulneráveis. Os autores da descoberta confirmaram a invasão sem autenticação em versões específicas de WordPress, Drupal, Joomla e Magento. Não é preciso ter um plugin desatualizado para estar em risco: a falha está na base de tudo.

As duas falhas, em linguagem simples

A CVE-2026-109618 está no tratamento de falta de memória: quando o servidor fica sem memória no meio de uma requisição, dados incompletos podem ser tratados como válidos. A CVE-2026-109619 é do tipo "uso após liberação": restos de uma requisição anterior ficam na memória e podem ser aproveitados pela próxima. Encadeadas, abrem a porta para o invasor rodar o próprio código no servidor.

O que um invasor consegue fazer com o seu site

Com acesso ao servidor, um invasor consegue alterar páginas, instalar códigos que desviam visitantes para golpes, copiar dados de formulários e de clientes, disparar spam pelo seu domínio e usar o seu site para atacar outros. O Google pode marcar o site como perigoso e derrubar suas posições. E, pela LGPD, o vazamento de dados de clientes é responsabilidade de quem os coleta: a sua empresa.

Seu site está em risco? Como saber

Se o seu site, sistema ou loja virtual roda em PHP e não foi atualizado depois de 21 de outubro de 2026, a resposta é sim. Veja a situação de cada versão:

Sites antigos são o maior problema

Muitos sites de empresas foram feitos há anos e nunca mais receberam atenção. Rodam PHP 7 ou até PHP 5, que não recebem correção alguma. Para quem não consegue atualizar, ou usa PHP 8.1 ou anterior, a orientação da CISA é direta: tirar o sistema do ar até corrigir. Se o seu site foi entregue e esquecido, este é o momento de pedir uma avaliação.

O que fazer agora, passo a passo

Atualizar é a única correção completa. Medidas paliativas, como desativar a opção session.upload_progress.enabled, bloqueiam caminhos de ataque conhecidos de uma das falhas, mas não todas as variações. A ordem recomendada é esta:

• Descubra a versão do PHP no painel da hospedagem (cPanel, hPanel ou Plesk) ou pergunte a quem mantém o site.
• Atualize para uma versão corrigida (8.2.35, 8.3.36, 8.4.27 ou 8.5.12) e reinicie o serviço do PHP. Atualizar sem reiniciar não aplica a correção.
• Teste o site depois da atualização: formulários, área de login, pagamentos e integrações. Sites antigos podem quebrar ao trocar de versão, e é aí que entra o desenvolvedor.
• Atualize também o WordPress, o tema e os plugins, e remova o que não usa.
• Ative um firewall de aplicação (WAF) como proteção temporária. A Cloudflare e outros provedores já publicaram regras contra o php2shell.
• Procure sinais de invasão: arquivos novos ou alterados, administradores desconhecidos, redirecionamentos estranhos e e-mails enviados que você não reconhece.
• Confirme que existe backup recente, guardado fora do servidor e com restauração testada. Se algo der errado, é ele que salva o negócio.

Na era da IA, todo mundo virou programador?

Nunca foi tão fácil colocar um site no ar. Ferramentas como Lovable, Bolt, Replit e os construtores com IA geram páginas bonitas em minutos a partir de uma frase. Já falamos delas em as melhores IAs para criar aplicativos, e nós mesmos usamos IA todos os dias no nosso processo. O problema não é a ferramenta. É a ilusão de que o site termina quando a tela fica pronta.

Um site de verdade tem três camadas que não aparecem na demonstração. A IA ajuda muito na primeira; as outras duas dependem de alguém responsável:

• Desenvolvimento: código revisado, validação de formulários, controle de acesso e integração com o que o negócio já usa.
• Infraestrutura: servidor, versão do PHP, banco de dados, SSL, DNS, e-mail e backup.
• Segurança contínua: atualizações, monitoramento e resposta rápida quando aparece uma falha como o php2shell.

Quem atualiza o servidor do site feito sozinho?

Em 21 de outubro, quem tinha um site com manutenção recebeu a correção. Quem montou o site sozinho num fim de semana provavelmente nem ficou sabendo da falha. Nenhum aviso chega ao celular dizendo que o PHP do seu servidor está vulnerável. Ou existe alguém acompanhando, ou não existe.

A ironia: a IA também ajudou a achar a falha

As empresas que descobriram o php2shell, Calif e Wiz, contaram que usaram modelos de IA na pesquisa. A mesma tecnologia que permite a qualquer pessoa gerar um site também acelera quem procura brechas. Site sem manutenção não fica parado no tempo: fica cada vez mais exposto. Listamos os pontos que mais falham em código gerado por IA no artigo aplicativo feito por IA é seguro?.

Barato no começo, caro depois

Recuperar um site invadido custa mais do que mantê-lo: limpar o código, trocar todas as senhas, refazer páginas, pedir revisão ao Google e, se houve vazamento de dados, fazer a comunicação exigida pela LGPD. Isso sem contar os dias com o site fora do ar ou marcado como perigoso, justamente quando o cliente procura por você.

Como escolher uma empresa de confiança para o seu site

Segurança não é um item que se acrescenta no fim. Ela começa na escolha de quem desenvolve. Antes de contratar, faça estas perguntas:

• Quem fica responsável pelas atualizações do servidor, do PHP e do CMS depois da entrega?
• Existe backup automático, guardado fora do servidor, com restauração testada?
• O domínio, a hospedagem e os acessos ficam no nome da sua empresa? Explicamos por que isso importa em quanto custa um site profissional.
• Há monitoramento de disponibilidade e alguém que responde quando o site cai?
• O site tem SSL, firewall e bloqueio de tentativas de login em massa?
• A empresa tem CNPJ, endereço, portfólio e clientes que você pode consultar?

Agência, freelancer ou plataforma pronta?

Cada caminho tem seu lugar, e comparamos os três em agência, freelancer ou plataforma pronta. Para um negócio que depende do site para vender, o critério que decide é simples: quem responde quando surge uma falha como esta.

Como a Agência G da Web cuida da segurança dos sites

Na Agência G da Web, todo projeto de criação de sites sai com SSL, backup e domínio no nome do cliente. Nos sites em WordPress, as atualizações do núcleo, dos plugins e do PHP são aplicadas de forma gerenciada e testadas antes de ir ao ar. A proteção inclui firewall de aplicação, bloqueio de tentativas de invasão e backups diários com restauração testada.

Para quem precisa de acompanhamento contínuo, a Virtual TI, empresa do grupo, oferece manutenção mensal a partir de R$ 99. O plano cobre hospedagem, atualizações, monitoramento de disponibilidade, proteção contra malware e suporte técnico. Empresas maiores contam com o nosso departamento de TI terceirizado.

Em sistemas web e aplicativos, usamos IA para acelerar o desenvolvimento, com engenheiros revisando cada ponto crítico: regras de acesso ao banco de dados, chaves protegidas no servidor, validação de dados e LGPD. O resultado aparece nos nossos casos de sucesso.

• Criação de sites — Sites com SSL, backup e domínio no nome da sua empresa.
• Sites em WordPress com manutenção — Atualizações gerenciadas, firewall e backups diários.
• Virtual TI — Hospedagem, manutenção e suporte a partir de R$ 99/mês.
• Pedir orçamento — Conte o que você tem hoje e receba a proposta em até 24 horas.

Resumo

• O php2shell (CVE-2026-109618 e CVE-2026-109619) permite executar código em servidores PHP sem login. Nota 9,2 de 10.
• Foi corrigido em 21/10/2026 nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 ou anterior não tem correção oficial.
• Há relatos de tentativas de exploração desde 17/10. Atualize e reinicie o PHP agora.
• Site seguro depende de desenvolvimento, infraestrutura e manutenção contínua, não só da tela pronta.
• Se você não sabe quem atualiza o seu site, fale com a gente.

Fontes primárias consultadas

• CISA: Critical Vulnerabilities in PHP Require Immediate Patching · publicado em 2026-10-21 · acessado em 2026-10-22
• Tenable: php2shell (CVE-2026-109618, CVE-2026-109619): Frequently Asked Questions · acessado em 2026-10-22
• Rapid7: CVE-2026-109618 and CVE-2026-109619: Critical Unauthenticated Remote Code Execution in PHP · acessado em 2026-10-22
• Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now! · publicado em 2026-10-21 · acessado em 2026-10-22
• Google Cloud: Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 · acessado em 2026-10-22

Perguntas frequentes

O que é o php2shell?

É o nome dado à combinação de duas falhas críticas no núcleo do PHP, a CVE-2026-109618 e a CVE-2026-109619, divulgadas em 21 de outubro de 2026. Elas permitem que um invasor execute código no servidor sem login e têm nota 9,2 de 10 na escala CVSS.

Meu site em WordPress está vulnerável?

Sim, se o servidor roda uma versão do PHP anterior às corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35). A falha está no PHP, não no WordPress, então atualizar só os plugins não resolve.

Como sei qual versão do PHP meu site usa?

O painel da hospedagem (cPanel, hPanel ou Plesk) mostra a versão do PHP. Se você não tem acesso, peça a quem mantém o site. Se ninguém sabe responder, esse já é o primeiro problema a resolver.

Atualizar o PHP pode quebrar meu site?

Pode, principalmente em sites antigos feitos para PHP 5 ou 7. Por isso a atualização deve ser feita por um desenvolvedor, com backup antes e testes depois em formulários, login, pagamentos e integrações.

Site feito com IA é inseguro?

Não necessariamente. O risco está em publicar sem revisão de segurança e sem ninguém responsável pela infraestrutura e pelas atualizações. A IA acelera o desenvolvimento; a segurança depende de processo e de manutenção contínua.

Quanto custa manter um site seguro?

Na Virtual TI, empresa do grupo G da Web, a manutenção mensal com hospedagem, atualizações, backup, monitoramento e suporte começa em R$ 99 por mês.