php2shell: seu WordPress está vulnerável e o que fazer hoje
Duas falhas críticas no PHP permitem execução de código remoto. Atualização do runtime no servidor é obrigatória.
Seu site WordPress ou loja WooCommerce está vulnerável ao php2shell se o servidor roda qualquer versão do PHP anterior a 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, pois as falhas CVE-2026-109618 e CVE-2026-109619 estão no runtime do PHP, não no WordPress ou nos plugins. Atualizar o WordPress, temas ou plugins não resolve o problema; é necessário que a hospedagem atualize o PHP no servidor ou que você migre para um plano com versão corrigida.
As duas falhas têm nota CVSS v4.0 9.2 (crítica) e permitem que um atacante não autenticado execute código no servidor web. A divulgação oficial ocorreu em 21 de outubro de 2026 pelo projeto PHP, após vazamento de detalhes no dia anterior. Tentativas de exploração já foram observadas por empresas de segurança, embora nenhuma invasão confirmada tenha sido publicada até o momento da divulgação.
Por que atualizar o WordPress não adianta
O php2shell afeta o motor que executa o código PHP no servidor: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Qualquer aplicação PHP — WordPress, WooCommerce, Magento, Drupal, Laravel — fica exposta enquanto o runtime estiver vulnerável. O painel do WordPress pode mostrar "tudo atualizado" e o site continuar explorável.
Como verificar a versão do PHP do seu site hoje
- Acesse o painel da hospedagem (cPanel, Plesk, painel proprietário) e procure por "Versão do PHP" ou "PHP Manager".
- No WordPress, instale temporariamente o plugin "Display PHP Version" ou acesse Ferramentas > Saúde do site > Informações > Servidor para ver a versão ativa.
- Compare com as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Qualquer número menor significa exposição.
O que pedir para a hospedagem nesta semana
- Confirmação por escrito de qual versão do PHP roda no seu plano atual.
- Cronograma para aplicar as versões corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) no servidor ou no seu container.
- Se o plano usa branch fim de vida (PHP 8.1 ou 8.0), exigir migração imediata para plano com versão suportada, pois não haverá release oficial para essas branches.
- Perguntar se há WAF ou regra de mitigação ativa enquanto a atualização não sai.
- Solicitar log de tentativas de exploração recentes no seu domínio.
Se a hospedagem não responder ou disser que não vai atualizar
Migre o site para hospedagem que garanta PHP suportado e atualizado. Use backup completo (arquivos + banco) e teste em ambiente de staging antes de apontar o DNS. Hospedagens gerenciadas de WordPress costumam aplicar patches de segurança do PHP em horas ou poucos dias após a divulgação.
Checklist prático para esta semana
- Verificar a versão do PHP no painel da hospedagem ou via plugin no WordPress.
- Comparar com as versões corrigidas listadas acima.
- Abrir chamado na hospedagem com os cinco itens da seção anterior.
- Se a versão for fim de vida (8.1, 8.0 ou anterior), iniciar migração para plano com PHP 8.2+ corrigido.
- Após a atualização, confirmar a nova versão no painel e rodar testes de funcionamento do site e do checkout (WooCommerce).
- Manter monitoramento de logs de acesso e erro nas 48h seguintes.
O que não fazer
Não confie apenas em atualizações de plugins de segurança ou WAF no nível da aplicação. Eles podem bloquear algumas tentativas, mas a falha está na camada inferior do runtime. Não adie a decisão esperando "patch virtual" definitivo; a exploração é simples e já está em andamento.
Perguntas frequentes
Meu site WordPress está vulnerável ao php2shell?
Sim, se o servidor roda PHP anterior a 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. A falha está no runtime do PHP, não no WordPress ou plugins. Verifique a versão no painel da hospedagem ou em Ferramentas > Saúde do site no WordPress.
Atualizar o WordPress e plugins corrige o php2shell?
Não. As falhas CVE-2026-109618 e CVE-2026-109619 estão no motor PHP do servidor. Atualizar o WordPress, temas ou plugins não altera a versão do PHP. A correção exige atualização do runtime pela hospedagem.
Minha hospedagem usa PHP 8.1 ou 8.0. O que faço?
Essas branches estão em fim de vida e não receberão release oficial corrigido. O projeto PHP publicou apenas backports de código-fonte. Exija migração imediata para plano com PHP 8.2 ou superior já corrigido (8.2.35, 8.3.36, 8.4.27 ou 8.5.12).
Já houve invasões confirmadas por causa do php2shell?
Até a divulgação em 21 de outubro de 2026, nenhuma invasão confirmada foi publicada. Empresas de segurança como Tenable e Rapid7 relataram tentativas de exploração na natureza logo após a divulgação.
Quer sua empresa nas respostas das IAs?
A 1real.ai cria agentes de IA e faz sua empresa ser citada pelo ChatGPT, Gemini e Perplexity. Marque uma conversa grátis.
Fale com a gente