outubro 23, 2026 Leitura de 8 min

Falha no PHP: o que sua empresa deve verificar agora

Falha php divulgada em 21/10/2026, conhecida como PHP2Shell. Reúne duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619) com gravidade 9,2 de 10. Em certas condições, elas permitem que um invasor execute comandos no servidor sem login.

Resposta rápida: falha php divulgada em 21/10/2026, conhecida como PHP2Shell. Reúne duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619) com gravidade 9,2 de 10. Em certas condições, elas permitem que um invasor execute comandos no servidor sem login.

A correção já existe, com orientações oficiais disponíveis para aplicação. No entanto, a empresa precisa confirmar se o PHP dos seus servidores foi atualizado após as correções. Atualizar só o WordPress não resolve, pois a falha pode afetar a infraestrutura inteira.

A falha levou governos e tribunais a tirar sistemas do ar por precaução, inclusive no Brasil. Neste artigo do Radar Hinfoluz, explicamos o que aconteceu, quem é afetado, por que isso preocupa empresas e o que verificar agora.

O que é a falha no PHP (PHP2Shell)?

O PHP é uma linguagem de programação que roda no servidor e monta as páginas que o visitante vê. Está por trás de cerca de 7 em cada 10 sites cuja tecnologia é identificável, segundo a W3Techs, e é a base de plataformas como WordPress, Drupal e Joomla.

As duas vulnerabilidades, batizadas de PHP2Shell, estão no próprio PHP, não em um plugin ou tema específico. Segundo a análise da Rapid7:

CVE-2026-109618: uma falha de corrupção de memória que pode ser acionada por requisições preparadas para esgotar a memória do servidor.
CVE-2026-109619: uma falha em que dados de uma requisição anterior continuam acessíveis na seguinte, dentro do mesmo processo.

Nos dois casos, o resultado possível é o mesmo: execução remota de código sem autenticação, com os privilégios do servidor web. A falha atinge as formas mais comuns de rodar PHP na web, como PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed.

Quem é afetado pela falha no PHP?

Qualquer instalação de PHP que atende requisições web e ainda não recebeu a correção. Na prática, isso inclui:

sites institucionais e lojas virtuais em WordPress, Drupal ou Joomla;
sistemas internos e portais desenvolvidos em PHP;
aplicações de terceiros que usam PHP por dentro, inclusive produtos de fabricantes de tecnologia. Em 22/10, por exemplo, a Palo Alto Networks confirmou que versões dos seus sistemas PAN-OS e Panorama estavam afetadas.

Há um agravante: segundo a W3Techs, em 23/10/2026, 34,6% dos sites em PHP ainda usavam as versões 5 ou 7, que estão fora do suporte oficial. Isso não significa que esses sites foram invadidos, mas indica que dependem de correções do fornecedor ou de uma migração.

O que aconteceu no Brasil e no mundo

As vulnerabilidades foram encontradas de forma independente pela Calif e pela OpenAI, e a Wiz identificou outras formas de explorá-las. Pesquisadores relataram o uso de inteligência artificial para encontrar e explorar as falhas.

Com a divulgação, em 21/10, órgãos públicos de vários países suspenderam serviços de forma preventiva:

Brasil: o Ministério da Gestão e da Inovação orientou as equipes de TI do governo federal a tirar temporariamente do ar os sistemas em PHP. A Anatel suspendeu o SEI das 12h15 às 22h05 e informou que não houve registro de invasão. Tribunais federais (TRF1, TRF4 e TRF6) também suspenderam acessos externos.
Exterior: houve suspensões em serviços dos governos do Reino Unido, França, Dinamarca, Finlândia e Holanda, além de empresas no Japão.

Por que a falha no PHP preocupa empresas?

Site, loja virtual e sistemas de gestão rodam em servidores. Um servidor comprometido pode tirar o site do ar, expor dados de clientes e senhas, e interromper vendas e atendimento. Esses são riscos possíveis, não perdas já comprovadas, mas três fatores aumentam a urgência:

Os ataques começaram antes do alerta. A Amazon registrou uma tentativa de exploração em 17/10, quatro dias antes da divulgação oficial.
Já há tráfego malicioso. A Cloudflare identificou tentativas de exploração e criou regras de firewall para seus clientes.
O intervalo entre descoberta e ataque está menor. Com ferramentas de IA, explorar uma vulnerabilidade conhecida tende a exigir menos tempo e menos conhecimento.

A correção já existe: quais versões do PHP estão corrigidas?

O projeto PHP publicou as correções em 21/10/2026. A atualização completa é a única forma de eliminar as falhas.

Série do PHP	Versão com correção
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35
PHP 8.1, 8.0 e 7.4	Sem atualização regular; há correções limitadas publicadas pelo projeto e pacotes de distribuições Linux e fornecedores
Versões mais antigas	Sem correção oficial: avaliar migração

Existem medidas temporárias de configuração que reduzem a exposição enquanto a atualização não é aplicada, mas elas não substituem a correção e devem ser avaliadas pela equipe técnica responsável pelo servidor.

Atualizar o WordPress resolve a falha no PHP?

Não. A falha está no PHP do servidor, não no WordPress. Atualizar o WordPress, os plugins ou os temas não elimina a vulnerabilidade. Quem usa hospedagem compartilhada ou gerenciada deve confirmar com o provedor se o PHP já foi atualizado. Quem tem servidor próprio precisa aplicar a atualização ou pedir à equipe de TI.

O que verificar agora: checklist em 5 passos

Descubra onde há PHP e em que versão. Inclua o site, os sistemas internos e as aplicações de terceiros.
Confirme a correção com quem cuida do servidor. Pode ser a TI interna, o fornecedor ou a hospedagem. Em versões antigas, planeje a migração.
Não trate o firewall como solução. Regras de bloqueio (WAF) reduzem o risco, mas não substituem a atualização.
Revise os registros de acesso. Procure atividade suspeita nos servidores, especialmente a partir de 17/10.
Teste a recuperação do backup. Saber restaurar o ambiente é o que reduz o impacto se algo já tiver acontecido.

Se houver suspeita de comprometimento, isole o sistema, preserve os registros do servidor web e do PHP e acione a equipe responsável pela segurança.

Perguntas frequentes sobre a falha no PHP

O que é PHP2Shell?

PHP2Shell é o nome dado a duas vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619), divulgadas em 21/10/2026. Em certas condições, elas permitem executar comandos no servidor sem autenticação.

Meu site em WordPress está vulnerável?

Pode estar, se o servidor roda uma versão do PHP sem a correção. O WordPress depende do PHP, então a verificação deve ser feita no servidor ou com a hospedagem, não no painel do WordPress.

Quais versões do PHP corrigem a falha?

As versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. As séries 7.4, 8.0 e 8.1 têm apenas correções limitadas, e versões mais antigas não recebem correção oficial.

O firewall protege contra o PHP2Shell?

Ajuda a reduzir o risco, mas não resolve. Provedores como a Cloudflare criaram regras para bloquear tentativas de exploração. A atualização do PHP continua sendo necessária.

Por que órgãos públicos tiraram sistemas do ar?

Por precaução, até aplicar a correção. No Brasil, o governo federal orientou a suspensão temporária de sistemas em PHP, e a Anatel tirou o SEI do ar por cerca de 10 horas, sem registro de invasão.

Como saber se minha empresa foi afetada?

Comece identificando quais sistemas usam PHP e em que versão, confirme se a correção foi aplicada e revise os registros de acesso dos servidores. Sem esse mapeamento, não é possível afirmar que o ambiente está protegido.

Sua empresa sabe por onde começar?

Responder rápido a uma falha como essa depende de saber o que está exposto, o que está desatualizado e quem é responsável por cada ambiente. O Diagnóstico de TI Gratuito da Hinfoluz mostra, em poucos minutos, um panorama da sua infraestrutura, da segurança da informação, do backup e da continuidade operacional.

Faça o Diagnóstico de TI Gratuito →