As duas falhas críticas do PHP corrigidas em 21 de outubro de 2026 já estão sendo exploradas. A Amazon informou que viu a primeira tentativa de ataque em 17 de outubro, quatro dias antes da correção sair, e que a falha, apelidada de PHP2Shell, "está sendo amplamente explorada". No Brasil, Anatel, tribunais federais e prefeituras tiraram sistemas do ar por precaução.
Se o seu site, loja virtual ou sistema roda em PHP (e quase todo WordPress roda), a única pergunta que importa agora é: você já atualizou?
O que é a falha
O projeto PHP publicou em 21 de outubro o alerta "critical remote code execution vulnerabilities, update now". São duas falhas, a CVE-2026-109618 e a CVE-2026-109619, ambas com nota 9,2 na escala CVSS 4.0. Elas permitem execução remota de código: um invasor pode rodar comandos no servidor sem ter senha.
Segundo o php.net, todas as instalações que servem páginas na web são afetadas: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O mod_php é o caso de maior risco, com ataque sem autenticação já demonstrado.
As versões corrigidas são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
A exploração começou antes da correção
A Amazon registrou em sua rede de armadilhas (honeypot) uma tentativa de exploração em 17 de outubro. As primeiras provas de conceito públicas apareceram em 21 de outubro, por volta das 2h no horário universal. A empresa atribui a atividade a vários grupos diferentes.
A Patchstack, especializada em WordPress, afirma que qualquer site WordPress num PHP vulnerável está exposto, sem depender de plugin. Na manhã de 21 de outubro, parceiros de hospedagem relataram à empresa vários incidentes de exploração ativa. A watchTowr também marcou as duas falhas como exploradas, mas em armadilhas, sem relatar invasão confirmada.
Até a noite de 21 de outubro, no horário de Brasília, as falhas não estavam no catálogo de vulnerabilidades exploradas da CISA, a agência de segurança dos Estados Unidos.
O efeito no Brasil
Em 21 e 22 de outubro, vários órgãos públicos brasileiros suspenderam serviços por precaução:
- Anatel tirou o SEI do ar e disse que o problema não é do SEI em si. O sistema voltou a funcionar na manhã de 22 de outubro.
- TRF1 suspendeu o acesso externo ao SEI, e a Justiça Federal da 4ª Região cortou o acesso externo a partir das 11h de 21 de outubro.
- Prefeitura do Recife suspendeu portal da transparência, Diário Oficial, SEI e outros serviços, sem previsão de retorno até a manhã de 22 de outubro.
- TJRO e Governo de Rondônia também ficaram fora do ar para o público, segundo a imprensa local (que cita uma data diferente para o início da parada).
O que fazer agora
- Descubra a versão do PHP do seu site. No WordPress, vá em Ferramentas, Saúde do site, Informações, Servidor. Na hospedagem, o painel costuma mostrar.
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Em hospedagem compartilhada, peça por escrito ao suporte a data da atualização.
- Se você está no 8.1 ou anterior, o problema é maior: planeje a migração agora. Sem versão suportada, a próxima falha também não terá correção.
- Procure sinais de ataque. A Amazon recomenda procurar a expressão PHP_SESSION_UPLOAD_PROGRESS em envios de arquivo nos registros do servidor. Peça isso ao seu técnico ou à hospedagem.
- Troque as credenciais se houver suspeita. A Patchstack lembra que a falha pode expor dados da memória do servidor: senhas de banco de dados, chaves de API e de pagamento.
- Teste o site depois da atualização. Plugin ou sistema antigo pode quebrar na versão nova; melhor descobrir antes do cliente.
Por que isso pesa para a pequena empresa
Os órgãos públicos têm equipe para desligar e religar sistemas. A pequena empresa, em geral, depende da hospedagem e não sabe nem qual PHP está usando. Uma loja virtual invadida pode ter o checkout alterado, os dados de clientes copiados e o domínio usado para golpe, com a conta caindo no CNPJ dela, inclusive perante a LGPD.
Onde a Oneck entra
Na Oneck Creative, a frente de Software & Sistemas cuida de sites e sistemas com rotina de atualização, monitoramento e plano para quando uma falha como essa aparece. Se você não sabe em que versão o seu site roda, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: PHP: arquivo de notícias de 2026; Amazon: PHP2Shell exploitation prior to public disclosure; Patchstack: PHP major vulnerability alert; watchTowr: CVE-2026-109618 FAQ; Canaltech: falhas no PHP fazem Anatel e tribunais suspenderem sistemas; Tudo Rádio: SEI da Anatel volta a operar; TV Guararapes: Prefeitura do Recife suspende serviços digitais; EuIdeal: falha no PHP tira do ar sites em Rondônia.
