PHP2Shell: a vulnerabilidade crítica do PHP que afeta o WordPress e 7 em cada 10 sites (o que fazer)
A 21 de outubro de 2026, a equipa do PHP publicou uma atualização urgente que corrige duas falhas críticas que permitem a um atacante executar código no servidor de um site sem utilizador nem palavra-passe. Os investigadores chamam-lhes PHP2Shell e já há ataques reais.
O PHP está por trás do WordPress, WooCommerce, PrestaShop, Joomla, Drupal e da maioria dos sites de pequenos negócios: segundo a W3Techs, é usado por 70 % dos sites cuja linguagem se conhece.
Em resumo:
- O quê: CVE-2026-109618 e CVE-2026-109619, gravidade 9,2 em 10: controlo do site sem palavra-passe.
- Quem: quase qualquer site em PHP, incluindo WordPress atualizado: a falha está no PHP, não no WordPress.
- Corrigido em: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e anteriores já não têm suporte.
- O que fazer: verificar a versão do PHP do seu site e atualizá-la (ou pedir ao alojamento) já.
- Verificação gratuita: O seu site está vulnerável ao PHP2Shell? (resultado em espanhol)
O que é o PHP2Shell
O PHP é o "motor" que prepara as páginas no servidor. As duas falhas estão nesse motor: uma aparece quando o PHP fica sem memória a meio de um pedido (CVE-2026-109618) e a outra quando reutiliza dados de uma visita anterior que já não deviam existir (CVE-2026-109619). Encadeando-as, um atacante pode executar comandos no servidor: instalar malware, roubar a base de dados ou enviar spam a partir do seu domínio. Nas instalações mais expostas, o ataque funciona antes de o WordPress arrancar, por isso nenhum plugin de segurança o trava.
Quem está afetado
Segundo a Wiz Research, todas as versões do PHP da última década (desde o 5.4) têm pelo menos uma das falhas. Estão afetados Apache com mod_php (maior risco), PHP-FPM, php-cgi, LiteSpeed e FrankenPHP. O ataque foi demonstrado em WordPress, Drupal e Joomla. Em alojamento partilhado também está afetado, mas normalmente é o fornecedor quem atualiza o PHP.
Versões corrigidas
| Ramo do PHP | Versão corrigida | Suporte de segurança |
|---|---|---|
| PHP 8.5 | 8.5.12 | Sim |
| PHP 8.4 | 8.4.27 | Sim |
| PHP 8.3 | 8.3.36 | Até 31/12/2027 |
| PHP 8.2 | 8.2.35 | Só até 31/12/2026 |
| PHP 8.1, 8.0, 7.4 e anteriores | Sem versão oficial | Não |
Algumas distribuições Linux aplicam a correção sem mudar o número da versão: confirme com o seu fornecedor.
Já está a ser explorada?
Sim. A Amazon detetou uma tentativa de ataque a 17 de outubro, quatro dias antes da divulgação, e a Cloudflare e vários alojamentos reportaram ataques. A Cloudflare ativou regras de proteção para todos os clientes, mas só atualizar o PHP resolve por completo.
Como saber se o seu site está afetado
- Verificação gratuita: O seu site está vulnerável ao PHP2Shell? diz-lhe num minuto se o site usa PHP ou WordPress e se anuncia uma versão sem correção. Não ataca o site.
- No painel do alojamento: procure "Versão do PHP" ou "Seletor de PHP".
- No WordPress: Ferramentas › Saúde do site › Informação › Servidor.
- Pergunte ao seu fornecedor.
O que fazer, passo a passo
- Faça uma cópia de segurança completa.
- Atualize o PHP para a versão corrigida do seu ramo ou, melhor, para o PHP 8.4.
- Atualize o WordPress, o tema e os plugins.
- Teste o site: página inicial, formulários, carrinho.
- Oculte a versão do PHP (
expose_php = Off). - Se não puder atualizar hoje, peça ao fornecedor as medidas temporárias do aviso do PHP ou ponha o site atrás de uma firewall como a Cloudflare.
Nós resolvemos
Cópia de segurança, atualização do PHP, revisão do WordPress, tema e plugins, e verificação final, com preço fechado depois de ver o seu site. Fale connosco por WhatsApp: +34 919 93 43 69.
Perguntas frequentes
O que é o PHP2Shell? É o nome de duas vulnerabilidades críticas do PHP, CVE-2026-109618 e CVE-2026-109619 (gravidade 9,2/10), corrigidas a 21 de outubro de 2026. Permitem executar código no servidor de um site sem palavra-passe.
O meu WordPress está vulnerável ao PHP2Shell? Se usa uma versão do PHP anterior a 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou o PHP 8.1 ou mais antigo, sim. A falha está no PHP, por isso ter o WordPress atualizado não chega.
Como verifico se o meu site está afetado? Veja a versão do PHP no painel do alojamento ou no WordPress (Ferramentas › Saúde do site › Informação › Servidor), ou use a verificação gratuita do PHP2Shell.
Que versão do PHP preciso? No mínimo PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Recomendamos o PHP 8.4: o PHP 8.2 deixa de ter suporte a 31 de dezembro de 2026.
Fontes
Precisa de ajuda com automação?
Marque uma consulta gratuita e descubra como o podemos ajudar a poupar tempo e custos com automações à medida.
Marque a sua consulta gratuita