⚠ Se o seu site usa WordPress, Drupal, Joomla ou qualquer sistema em PHP, leia este artigo antes de fazer qualquer outra coisa hoje.
Uma falha crítica chamada PHP2Shell foi divulgada em 21 de outubro de 2026 e afeta praticamente toda a web. As duas vulnerabilidades (CVE-2026-109618 e CVE-2026-109619) permitem que um atacante execute código no servidor sem precisar de login — ou seja, qualquer site em PHP pode ser comprometido sem que o dono perceba. A nota de gravidade é 9,2 em 10 no padrão internacional CVSS.
O que é o PHP2Shell e por que é tão grave
PHP é a linguagem de programação que roda por baixo de mais de 70% dos sites do mundo, incluindo todos os sites feitos em WordPress, Drupal e Joomla. O PHP2Shell não é um plugin ou tema com falha — é a falha no próprio motor que processa cada requisição do site.
Isso significa que atualizar o WordPress ou seus plugins não resolve o problema. O que precisa ser atualizado é o PHP no servidor. E em hospedagem compartilhada, quem faz isso é o provedor de hospedagem — não o dono do site.
A gravidade é alta porque a exploração não exige autenticação: um atacante pode enviar uma requisição especialmente formatada ao site e obter acesso de execução no servidor. Pesquisadores já documentaram tentativas de exploração ativas a partir do dia 21 de outubro, o mesmo dia em que as correções foram lançadas.
Quais versões do PHP são afetadas
| Versão do PHP | Status | Versão corrigida |
|---|---|---|
| PHP 8.5 | Afetada | 8.5.12 (21/10/2026) |
| PHP 8.4 | Afetada | 8.4.27 (21/10/2026) |
| PHP 8.3 | Afetada | 8.3.36 (21/10/2026) |
| PHP 8.2 | Afetada | 8.2.35 (21/10/2026) |
| PHP 8.1 e anteriores | Possivelmente afetada — sem release oficial ainda | Aguardar comunicado do provedor |
| PHP 7.x e 5.x | Sem suporte ativo — alto risco | Migrar para versão suportada |
O que fazer agora: passo a passo para donos de site
Checklist de ação imediata
- Descubra qual versão do PHP o seu site usa. Acesse o painel da hospedagem (cPanel, Plesk ou painel próprio do provedor) e procure por “Versão do PHP” ou “PHP Version”. Anote o número exato.
- Entre em contato com o provedor de hospedagem. Pergunte se o PHP do seu plano já foi atualizado para a versão corrigida das CVE-2026-109618 e CVE-2026-109619. Use exatamente esses termos — os atendentes de suporte técnico vão reconhecer.
- Se o provedor ainda não atualizou, peça um prazo e ative qualquer opção de WAF (Firewall de Aplicação Web) disponível no painel. Provedores como Cloudflare já ativaram proteção automática para clientes com WAF desde 21/10 às 06h02 (horário de Brasília).
- Não desative o site “por precaução”. O modo de manutenção do WordPress não protege contra essa falha, porque o PHP processa cada requisição antes de qualquer regra da aplicação. Se precisar tirar o site do ar, peça ao provedor para parar o PHP-FPM e servir uma página estática.
- Atualize WordPress, plugins e temas assim mesmo — não porque isso resolve o PHP2Shell, mas porque ambientes desatualizados acumulam riscos adicionais.
Meu site WordPress está em risco?
Se o servidor do seu WordPress usa PHP 8.2, 8.3, 8.4 ou 8.5 e ainda não foi atualizado para as versões corrigidas, sim — o site está tecnicamente vulnerável. A exposição real depende de como a hospedagem está configurada, mas a orientação dos pesquisadores de segurança é tratar qualquer instalação PHP não corrigida como comprometida até prova em contrário.
Sites hospedados em serviços gerenciados como WP Engine, Kinsta, Pressable e plataformas similares geralmente já corrigiram automaticamente — mas vale confirmar com o suporte deles.
O que acontece se o site for comprometido
Exploração bem-sucedida do PHP2Shell permite que um atacante execute qualquer código no servidor: instalar malware, roubar dados de clientes, redirecionar visitantes para páginas fraudulentas, minerar criptomoeda usando os recursos do servidor ou usar o site como ponto de partida para atacar outros sistemas. Em sites de comércio eletrônico ou com formulários de cadastro, o risco de exposição de dados de clientes é imediato.
Leia também:
Por que manter seu site saudável importa para o SEO O que é GEO e por que a presença digital protege sua marca
Perguntas Frequentes
Atualizar o WordPress resolve o problema?
Não. O PHP2Shell é uma falha no PHP, não no WordPress. Atualizar plugins e temas é sempre recomendado, mas não elimina essa vulnerabilidade específica. O que precisa ser atualizado é o PHP no servidor — e isso depende do provedor de hospedagem.
Tenho um site pequeno, sem dados de clientes. Ainda sou alvo?
Sim. Atacantes não escolhem alvos pelo tamanho — eles varrem a internet em busca de servidores vulneráveis. Sites pequenos são frequentemente comprometidos para serem usados como veículo de spam, redirecionamento malicioso ou ataque a terceiros.
O que é CVE? O que significa CVSS 9,2?
CVE é o sistema internacional de identificação de vulnerabilidades. CVSS é a escala de gravidade que vai de 0 a 10 — 9,2 é classificado como crítico. Para referência, a nota 10 representa uma falha que compromete qualquer sistema sem nenhuma condição adicional.
Meu provedor não respondeu. O que faço?
Se você usa Cloudflare na frente do site, verifique se o WAF está ativo — a proteção para PHP2Shell foi implantada automaticamente para planos gratuitos e pagos a partir de 21/10. Se não usa Cloudflare, considere ativá-lo como camada adicional enquanto aguarda resposta do provedor.
Como sei se meu site já foi comprometido?
Alguns sinais: redirecionamentos inesperados para outros sites, arquivos desconhecidos no servidor, aumento repentino no uso de CPU ou memória, páginas com conteúdo diferente do publicado, e-mails de spam sendo enviados pelo domínio. Em caso de suspeita, entre em contato com um profissional de segurança para auditoria.
Conclusão
O PHP2Shell é uma das vulnerabilidades mais graves divulgadas nos últimos anos para a web brasileira — e a ação precisa ser tomada agora, não quando o provedor de hospedagem enviar um comunicado. Confirme a versão do PHP do seu site hoje, entre em contato com o suporte técnico da hospedagem e ative camadas de proteção adicionais enquanto o patch não é aplicado. A Sette Marketing acompanha a presença digital dos seus clientes e pode orientar sobre as providências necessárias para os sites sob gestão da agência.
Sette Marketing — Agência com mais de 20 anos de atuação, desenvolvendo projetos que integram estratégia, comunicação, branding, conteúdo, presença digital e performance. Av. Álvaro Ramos, 896, Conj. 86 — Mooca, São Paulo – SP.
