Se o site ou a loja virtual da sua empresa roda em WordPress, WooCommerce, Magento, Joomla ou Drupal, ele roda em PHP. E a equipe do PHP avisou em 20 de outubro de 2026 que vai lançar nesta quarta, 21 de outubro, às 14h UTC (11h de Brasília), a correção de duas falhas críticas que permitem executar código remotamente no servidor. As duas têm nota 9.2 de gravidade (CVSS v4.0).
O que deixa o caso mais delicado: os detalhes vazaram antes da data combinada, e pesquisadores já batizaram o problema de PHP2Shell. No Brasil, segundo um levantamento feito em 20 de outubro, 64% dos servidores que mostram a versão do PHP usam ramos que não devem receber correção.
O que se sabe até agora
O aviso "Upcoming Critical PHP Security Release" saiu no site do PHP e na lista oficial de anúncios, assinado por Jakub Zelenka, em 20 de outubro às 19h33 UTC. Ele diz que versões afetadas e corrigidas só serão divulgadas junto com o lançamento e que o PHP pode antecipar a correção se os detalhes ficarem públicos.
O que veio de outras fontes:
- Identificadores: CVE-2026-109618 e CVE-2026-109619, ambas descritas como execução remota de código no PHP. Os números aparecem no FAQ da watchTowr e no aviso do CERT-EU, não no aviso do PHP.
- Alcance: o CERT-EU, órgão de resposta a incidentes das instituições da União Europeia, publicou em 21 de outubro que as falhas "podem afetar todas as versões do PHP a partir do PHP 5" e recomenda corrigir assim que sair a versão nova ou, se não der, isolar da internet as aplicações expostas.
- Vazamento: segundo a Huntress, a watchTowr reproduziu a primeira falha. Um vídeo curto de exploração chegou a ser publicado e foi removido.
- Exploração: até a última atualização, nem a Huntress nem a watchTowr tinham visto ataques reais, e as falhas não estavam no catálogo de vulnerabilidades exploradas da CISA, a agência de cibersegurança dos Estados Unidos.
Quem fica de fora da correção
Hoje o PHP mantém suporte de segurança para os ramos 8.5, 8.4, 8.3 e 8.2 (este último só até 31 de dezembro de 2026). As versões 8.1 e anteriores estão sem suporte. O próprio WordPress recomenda PHP 8.3 ou superior.
O levantamento da Mallory, feito no Shodan em 20 de outubro, encontrou cerca de 1,5 milhão de servidores que informam a versão do PHP. Desses, 59% estão em ramos sem correção prevista. No Brasil, são 18.881 de 29.511 servidores, ou 64%. Dois cuidados na leitura: a conta é de servidores, não de sites, e versão antiga não prova que o servidor está vulnerável. Distribuições Linux e hospedagens às vezes aplicam a correção em versões antigas por conta própria.
O que fazer agora
Seguindo as recomendações da Huntress:
- Descubra a versão do PHP do seu site. Ela aparece no painel da hospedagem e, no WordPress, em Ferramentas, Saúde do site, Informação.
- Atualize assim que a correção sair. Se você está no 8.2 ou acima, aplique a versão nova o quanto antes. Se a hospedagem cuida disso, pergunte quando será feito.
- Saia das versões sem suporte. PHP 8.1 ou anterior pede migração para 8.3 ou superior; teste antes em cópia do site, porque plugins antigos podem quebrar.
- Pergunte à hospedagem se haverá correção em versões antigas, caso a migração não possa ser feita agora.
- Proteja o que não dá para atualizar já: firewall de aplicação (WAF) na frente do site ou acesso só por VPN para sistemas internos.
- Se suspeitar de invasão, isole o servidor, guarde os logs e procure arquivos novos na pasta do site, tarefas agendadas (cron) e contas de usuário que você não criou.
Onde a Oneck entra
Muita PME só descobre a versão do PHP do próprio site quando algo quebra. Na Oneck Creative, a frente de Software & Sistemas cuida de sites e lojas em PHP, com atualização de versão testada antes de ir ao ar e revisão de plugins. Se você não sabe em que versão o seu site está ou precisa migrar com segurança, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: PHP: Upcoming Critical PHP Security Release (20/10/2026); PHP: anúncio na lista php.announce; PHP: versões com suporte; CERT-EU: Security Advisory 2026-018; Huntress: PHP2Shell; watchTowr: FAQ CVE-2026-109618; Mallory: levantamento de servidores PHP; WordPress: requisitos.
