Duas vulnerabilidades críticas descobertas no PHP provocaram um alerta de segurança internacional que afeta sites, lojas virtuais e aplicações hospedadas em servidores de todo o mundo. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, podem permitir que um invasor execute código malicioso remotamente, sem precisar se autenticar.
Em 21 de outubro de 2026, os responsáveis pelo PHP publicaram atualizações de emergência para resolver os dois problemas. Se você tem um site criado com WordPress ou outro sistema que utiliza PHP, vale verificar qual versão está instalada e se o seu provedor de hospedagem aplicou as correções.
O que aconteceu com o PHP e por que é tão grave
PHP é uma das linguagens de programação mais utilizadas para criar páginas web dinâmicas. Ela está presente em sistemas como WordPress, Joomla e Drupal, além de inúmeras aplicações desenvolvidas sob medida.
Diferentemente de HTML ou CSS, o PHP é executado no servidor que hospeda o site. Entre outras tarefas, ele pode processar formulários, acessar bancos de dados e gerar conteúdo antes de enviá-lo ao navegador do visitante.
As duas vulnerabilidades descobertas afetam o próprio funcionamento interno do PHP. Segundo o aviso oficial de segurança, um invasor poderia explorar determinados erros no processamento das requisições para executar instruções não autorizadas em um servidor vulnerável.
A gravidade levou órgãos europeus a recomendar atualizações imediatas. Algumas instituições públicas e organizações chegaram a desconectar temporariamente seus serviços como medida preventiva.
Isso não significa que todos os sites criados com PHP tenham sido atacados, mas indica que as instalações vulneráveis devem ser verificadas o quanto antes.
Como saber se o seu site utiliza PHP
O primeiro passo é identificar a tecnologia usada na construção do seu site.
Se você utiliza WordPress, Joomla, Drupal ou uma aplicação desenvolvida em PHP, seu site depende dessa linguagem. No entanto, isso não significa automaticamente que ele esteja desprotegido: a versão instalada e as atualizações de segurança aplicadas no servidor também importam.
Se você não sabe qual tecnologia seu site utiliza, consulte a documentação da hospedagem ou pergunte à empresa que o desenvolveu.
Também existem ferramentas que tentam identificar as tecnologias de um site pela internet, embora seus resultados nem sempre sejam conclusivos. Além disso, não é possível confirmar com segurança se um servidor apresenta essas vulnerabilidades apenas visitando o site hospedado nele.
Como verificar a versão do PHP no WordPress
Se você tem acesso ao painel de administração do WordPress, pode consultar a versão do PHP sem instalar plugins adicionais.
Siga estes passos:
- Acesse a administração do WordPress, normalmente em
tudominio.com/wp-admin. - No menu lateral, entre em Ferramentas.
- Selecione Saúde do site.
- Abra a aba Informações.
- Expanda a seção Servidor.
- Localize o campo Versão do PHP.
Nessa seção, aparecerá um número como 8.3.35 ou 8.4.26. Anote-o para comparar com as versões corrigidas.
Se não encontrar essa informação, você também pode consultar o painel do seu provedor de hospedagem, que pode usar ferramentas como cPanel, Plesk ou outro sistema de administração.
Vale lembrar que o WordPress mostra a versão utilizada pelo site, mas não necessariamente indica se o provedor incorporou correções de segurança adicionais.
Quais versões do PHP são afetadas
A equipe de desenvolvimento do PHP publicou, em 21 de outubro de 2026, as seguintes versões corrigidas:
| Versão do PHP | Versão mínima corrigida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Por exemplo, uma instalação com PHP 8.3.35 é anterior à atualização oficial de segurança. Para essa linha, a versão corrigida é o PHP 8.3.36.
O PHP 8.1 e as versões anteriores já não recebem atualizações regulares do projeto PHP. No entanto, alguns fornecedores de sistemas operacionais e serviços de suporte estendido publicam suas próprias correções para versões antigas.
Por isso, se você utiliza uma versão anterior às indicadas, não deve presumir que ela esteja protegida nem que seja necessariamente vulnerável sem verificar os patches do fornecedor.
Você pode consultar as versões publicadas no site oficial do PHP.
O que fazer se o seu site utiliza uma versão vulnerável
Se você descobrir que seu site funciona com uma versão do PHP anterior à corrigida e não tiver confirmação de que um patch foi aplicado, é importante agir rapidamente.
1. Entre em contato com seu provedor de hospedagem. Pergunte se o seu servidor é afetado pelas vulnerabilidades CVE-2026-109618 e CVE-2026-109619 e se as atualizações correspondentes já foram instaladas.
2. Faça um backup. Antes de modificar o ambiente, certifique-se de ter uma cópia recente dos arquivos e do banco de dados. É recomendável verificar se ela pode ser restaurada.
3. Atualize o PHP para uma versão corrigida. Se você administra o servidor, deverá instalar os pacotes de segurança correspondentes. Se utiliza hospedagem compartilhada, o provedor pode cuidar dessa parte ou permitir que você selecione a versão pelo painel.
4. Verifique o funcionamento do site. Confira as principais seções, os formulários, o acesso dos usuários e, se tiver uma loja virtual, o processo de compra.
5. Solicite uma avaliação técnica se suspeitar de um ataque. Instalar uma atualização impede a exploração das falhas corrigidas, mas não elimina automaticamente possíveis alterações maliciosas feitas anteriormente.
Meu site pode parar de funcionar ao atualizar o PHP?
Sim. Embora manter o PHP atualizado seja fundamental para a segurança, migrar de uma versão antiga para uma mais recente pode causar problemas de compatibilidade.
Isso acontece especialmente em sites que utilizam temas, plugins ou soluções personalizadas que não são atualizados há algum tempo.
Por exemplo, depois de mudar a versão do PHP, podem surgir erros em formulários de contato, funcionalidades de uma loja virtual ou componentes que dependem de código antigo. Em casos mais graves, o site pode deixar de carregar corretamente.
Por isso, sempre que possível, é aconselhável testar a mudança primeiro em um ambiente de testes e verificar a compatibilidade dos componentes instalados.
Ainda assim, esses riscos não justificam manter um servidor vulnerável por tempo indeterminado. Se a mudança exigir adaptações no site, o ideal é coordenar a atualização de segurança com as modificações necessárias.
E se eu não tiver acesso ao servidor do meu site?
Em muitos casos, o proprietário de um site não administra diretamente o servidor em que ele está hospedado. É comum que essa responsabilidade seja da empresa de hospedagem ou do prestador de serviços de TI.
Se esse é o seu caso, você pode enviar uma mensagem como esta:
“Olá, gostaria de confirmar se o servidor em que meu site está hospedado está protegido contra as vulnerabilidades do PHP CVE-2026-109618 e CVE-2026-109619, divulgadas em outubro de 2026. Vocês podem informar qual versão do PHP utilizamos e se os patches de segurança necessários já foram aplicados?”
A resposta deve permitir que você saiba se a sua hospedagem está atualizada ou precisa de alguma intervenção.
Não basta verificar se o site abre corretamente. Um site pode funcionar normalmente e ainda apresentar vulnerabilidades de segurança.
Todos os sites WordPress estão em risco?
Não necessariamente. O WordPress utiliza PHP, mas uma instalação que já conta com as correções de segurança correspondentes não está exposta a essas duas falhas conhecidas.
Além disso, atualizar o WordPress, seus plugins ou seus temas não equivale a atualizar o PHP. São componentes diferentes, e a manutenção do servidor deve ser verificada separadamente.
O alerta também não significa que todos os servidores vulneráveis tenham sido comprometidos. O que existe é um risco de segurança que exige uma resposta rápida.
Como manter seu site protegido
A divulgação dessas vulnerabilidades reforça que a segurança de um site não depende apenas de manter seu sistema de gerenciamento de conteúdo atualizado. Também é necessário prestar atenção aos programas que funcionam no servidor.
Verificar periodicamente a versão do PHP, utilizar componentes compatíveis, manter backups e ter uma boa comunicação com o provedor de hospedagem são medidas importantes.
Neste caso, a recomendação dos responsáveis pelo PHP e das autoridades de cibersegurança é especialmente clara: aplicar as correções oficiais o quanto antes e verificar se os serviços continuam funcionando corretamente.
Se você tem dúvidas sobre a versão instalada, o primeiro passo é consultar o painel do seu site ou entrar em contato com seu provedor de hospedagem. Não é preciso esperar que apareça um erro para verificar se o seu site está protegido.
