Seu site roda em PHP? A falha crítica de outubro e as perguntas para fazer à hospedagem

Se o site da sua empresa foi feito em WordPress, ou se a sua loja virtual usa plataformas como WooCommerce ou Magento, ele roda em PHP. E, em 21 de outubro, o projeto PHP publicou correções de emergência para duas falhas críticas, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell.

Conforme publicado pelo portal especializado The Hacker News, as falhas receberam nota 9,2 de gravidade e permitem que um invasor execute código no servidor sem login. No mesmo dia, a empresa de segurança watchTowr relatou tentativas ativas de exploração, e a Cloudflare disse ter visto tráfego de ataque contra seus clientes. Até a publicação da matéria, nenhuma invasão bem-sucedida havia sido confirmada.

Por que isso interessa a quem tem site

O alerta foi levado a sério no setor público. Segundo o jornal O Tempo, tribunais federais e órgãos como a Anatel suspenderam sistemas por precaução, e o centro de tratamento de incidentes do governo federal recomendou atualização imediata. O mesmo jornal cita levantamento da Censys segundo o qual cerca de 1,5 milhão de 2,6 milhões de servidores identificados usavam versões do PHP ainda sem correção disponível.

Para uma empresa, um servidor invadido pode significar site fora do ar, páginas alteradas, redirecionamento de clientes para golpes ou vazamento de dados de cadastro e de pedidos. Além do prejuízo de imagem, a Lei Geral de Proteção de Dados exige que quem trata dados pessoais adote medidas de segurança para protegê-los. Manter o servidor atualizado é parte disso.

Muita empresa só descobre que o site estava desatualizado depois do problema, quando o Google passa a exibir alerta de site inseguro ou quando clientes reclamam de páginas estranhas. Uma verificação simples agora custa bem menos do que recuperar o site e a confiança dos clientes depois.

Quais versões já estão corrigidas

De acordo com o The Hacker News, as correções vieram nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e anteriores não recebem mais atualizações oficiais do projeto. Para 7.4, 8.0 e 8.1 foram divulgados apenas ajustes de código-fonte, que dependem de a hospedagem aplicá-los. Se o seu site ainda roda em uma dessas versões antigas, o risco é maior e vale planejar a atualização.

Como descobrir a versão do seu site

• No WordPress: acesse o painel, vá em Ferramentas e depois em Saúde do site. Na aba Informações, a seção Servidor mostra a versão do PHP.
• No painel da hospedagem: a maioria dos painéis, como o cPanel, tem uma opção para ver e escolher a versão do PHP.
• Com quem cuida do site: se a agência ou um profissional faz a manutenção, peça a informação por escrito.

As perguntas para fazer à hospedagem ou à agência

1. Qual versão do PHP o meu site usa hoje, e as correções de outubro já foram aplicadas?
2. Se a versão for antiga, o site é compatível com uma versão atual? Quanto tempo leva a migração?
3. Os plugins, o tema e a plataforma da loja também estão atualizados?
4. Existe cópia de segurança recente, guardada fora do servidor do site?
5. Em quanto tempo vocês aplicam atualizações de segurança críticas? Isso está no contrato?
6. Se houver suspeita de invasão, quem me avisa e qual é o procedimento?

Hospedagem compartilhada costuma atualizar o servidor, mas nem sempre troca a versão do PHP escolhida pelo cliente, porque isso pode quebrar sites antigos. Por isso a resposta da pergunta 2 é tão importante.

Leia também: Site que parece inseguro perde cliente: o que a pesquisa da Liferay mostra

Como a DEC pode ajudar

A DEC Soluções Digitais desenvolve e mantém sites para empresas desde 2013, com atualização de servidor, plataforma e plugins incluída nos planos de manutenção. Se você não sabe em que versão o seu site está, ou se recebeu uma resposta vaga da hospedagem, nossa equipe pode fazer uma verificação e indicar o caminho mais seguro.

Fontes

• The Hacker News, 21/10/2026: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge
• O Tempo, 22/10/2026: Falha de segurança faz governos e tribunais no Brasil tirarem sites do ar