A falha no PHP batizada de PHP2Shell, descoberta com ajuda de inteligência artificial, permite invadir o servidor de um site sem login ou senha. Se o site da sua empresa roda em PHP, ele pode estar exposto agora.
Na quarta-feira, 21 de outubro de 2026, governos e empresas do mundo todo tiraram sites do ar às pressas por causa dessa falha no PHP, a linguagem por trás de boa parte da internet, que ficou escondida por mais de uma década e só veio à tona com a ajuda da IA.
Se o site institucional, a loja virtual ou o blog da sua empresa roda em WordPress, Drupal, Joomla ou em qualquer sistema feito em PHP, esta notícia é sobre você. A boa notícia é que a correção existe e depende de uma ação simples: atualizar a versão do PHP ainda hoje. A seguir, explicamos o que aconteceu, qual é o risco real e o que fazer.
O que aconteceu: a falha no PHP em 5 pontos
- Duas vulnerabilidades críticas foram encontradas no próprio PHP, identificadas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell. Ambas receberam nota 9,2 na escala CVSS 4.0.
- Elas permitem execução remota de código sem autenticação, ou seja, um invasor pode assumir o servidor sem precisar de login ou senha.
- A descoberta foi feita com IA por pesquisadores das empresas de segurança Calif e Wiz, usando modelos avançados da OpenAI e do Google.
- O projeto PHP publicou correções de emergência em 21 de outubro: versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12.
- Agências de segurança pediram ação imediata. Segundo a BBC News Brasil, a NSA, dos EUA, orientou desligar sistemas que não puderem ser corrigidos logo, e o NCSC, do Reino Unido, recomendou procurar portas traseiras deixadas por invasores.
O que é PHP e por que a falha atinge tantos sites
PHP (Hypertext Preprocessor) é uma linguagem de programação que roda no servidor e monta as páginas que o visitante vê no navegador. Ela está por trás do WordPress, de lojas virtuais, de portais institucionais e até da Wikipédia.
A Wiz estima que o PHP esteja presente em cerca de 70% dos sites do mundo. Como a falha no PHP está na própria linguagem, e não em um plugin ou tema específico, até uma aplicação simples pode estar exposta.
Pesquisadores das empresas envolvidas apontam que o problema alcança versões desde o PHP 5.4, o que cobre mais de dez anos de lançamentos.
Qual é o risco real da PHP2Shell
Imagem: DC Studio / Magnific
Um servidor explorado por essa falha no PHP fica nas mãos do invasor. Na prática, isso abre caminho para:
- Roubo de dados: a Wiz relatou ser possível ler da memória do servidor senhas, tokens e chaves de API, além de chegar ao banco de dados do site.
- Instalação de backdoors: o atacante pode deixar um acesso escondido que continua funcionando mesmo depois da atualização.
- Uso do site contra seus clientes: páginas alteradas para distribuir malware ou capturar dados de pagamento.
- Ponte para a rede interna: se o servidor web conversa com ERP, CRM ou outros sistemas, ele vira porta de entrada.
Há um agravante: segundo a BBC, a Amazon relatou tentativas de ataque dias antes da divulgação oficial. Ou seja, o tempo de espera já acabou.
Os mais expostos à falha no PHP são justamente os sites com pouca manutenção: a landing page de uma campanha antiga, o blog que ninguém atualiza ou a loja hospedada num servidor que "sempre funcionou".
Como saber se o site da sua empresa está vulnerável
Para saber se a falha no PHP atinge o seu site, o primeiro passo é descobrir a versão em uso. Se ela for anterior às versões corrigidas, o site está vulnerável. Veja onde consultar:
- No WordPress: acesse Ferramentas › Saúde do site › Informações › Servidor.
- Na hospedagem: o painel (cPanel, Plesk ou similar) mostra a versão do PHP de cada domínio.
- Em servidor próprio: a equipe de TI pode consultar com o comando php -v.
Com a versão em mãos, veja o que fazer:
- PHP 8.5 abaixo de 8.5.12: vulnerável, com correção. Atualize para 8.5.12 ou superior.
- PHP 8.4 abaixo de 8.4.27: vulnerável, com correção. Atualize para 8.4.27 ou superior.
- PHP 8.3 abaixo de 8.3.36: vulnerável, com correção. Atualize para 8.3.36 ou superior.
- PHP 8.2 abaixo de 8.2.35: vulnerável, com correção. Atualize para 8.2.35 ou superior.
- PHP 8.1, 8.0, 7.x ou anterior: vulnerável, sem correção publicada. Migre para um ramo suportado; até lá, considere tirar o site do ar.
O último caso merece atenção: muitos sites brasileiros ainda rodam em PHP 7.4. Para eles, não existe "atualização rápida", e a migração exige testar tema, plugins e integrações.
O que fazer agora: 6 passos para proteger seu site da falha no PHP
Imagem: Magnific
- Liste todos os sites e sistemas em PHP, incluindo landing pages antigas, ambientes de homologação e subdomínios esquecidos.
- Atualize para a versão corrigida do seu ramo ou peça isso à hospedagem hoje. Para a maioria das equipes, é uma troca de versão de rotina.
- Se não puder atualizar já, tire o site do ar temporariamente. Foi o que fizeram governos e grandes organizações. Regras de WAF ajudam como paliativo, mas a única correção recomendada pelo projeto PHP é a atualização.
- Procure sinais de invasão anterior: arquivos PHP novos ou alterados, usuários administradores desconhecidos e conexões de saída estranhas. Atualizar não remove um backdoor já instalado.
- Troque as credenciais que estavam no servidor: senhas do banco de dados, chaves de API e tokens de integração.
- Monitore de perto nas próximas semanas. Com os detalhes técnicos da falha no PHP já públicos, novas tentativas de exploração tendem a crescer.
E um alerta para colaboradores e clientes: casos de grande repercussão costumam ser usados como isca de phishing. Desconfie de e-mails que peçam "atualizar o site" ou "confirmar a senha" por causa da falha no PHP.
A IA encurtou o tempo entre a falha e o ataque
Imagem: creativeart / Magnific
A lição mais importante da falha no PHP vai além da linguagem: a IA está encontrando falhas antigas em velocidade inédita, e isso vale para defensores e atacantes.
As vulnerabilidades não eram novas. O que mudou foi a capacidade de encontrá-las. A própria OpenAI reconheceu que a mesma tecnologia que descobre a falha pode ajudar a criar rapidamente ferramentas de ataque.
Para as empresas, isso significa que a janela entre a correção ser publicada e o ataque começar ficou muito menor. Atualizar "no próximo mês" deixou de ser uma opção segura. Gestão de vulnerabilidades e testes periódicos de invasão passam a ser rotina, e não projeto.
Perguntas frequentes sobre a falha no PHP
O que é a falha PHP2Shell?
É o nome dado a duas vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619), reveladas em 21 de outubro de 2026, que permitem a um invasor executar código no servidor sem login.
Meu site WordPress foi afetado pela falha no PHP?
Se ele roda em uma versão do PHP anterior às corrigidas, sim. A falha está na linguagem, então atualizar o WordPress ou os plugins não resolve: é preciso atualizar o PHP.
Qual versão do PHP corrige a falha?
As versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Quem usa PHP 8.1 ou anterior precisa migrar para um desses ramos.
Como atualizar a versão do PHP do meu site?
Em hospedagens compartilhadas, a troca é feita no painel ou solicitada ao suporte. Em servidores próprios, a equipe de TI atualiza o pacote e reinicia o serviço, após um teste rápido de compatibilidade.
Depois de atualizar, estou seguro?
Você fecha a porta, mas precisa conferir se ninguém entrou antes. Verifique arquivos alterados, usuários desconhecidos e troque as credenciais do servidor.
Conclusão: atualizar é urgente, mas não é o fim
A falha no PHP conhecida como PHP2Shell é um daqueles casos em que a correção é simples e o atraso é caro. Atualize hoje, verifique sinais de invasão e trate o episódio como um aviso: com a IA acelerando a descoberta de falhas, quem não tem rotina de gestão de vulnerabilidades vai correr atrás do prejuízo com cada vez mais frequência.
Não sabe se o site da sua empresa está exposto? Fale com a Bitsafe e solicite uma verificação.
Atualizado em 22 de outubro de 2026.
