{"id":28000,"date":"2026-10-22T09:12:12","date_gmt":"2026-10-22T12:12:12","guid":{"rendered":"https:\/\/w2websites.com\/blog\/falha-critica-php-outubro-2026\/"},"modified":"2026-10-22T09:12:12","modified_gmt":"2026-10-22T12:12:12","slug":"falha-critica-php-outubro-2026","status":"publish","type":"post","link":"https:\/\/w2websites.com\/blog\/falha-critica-php-outubro-2026\/","title":{"rendered":"Falha cr\u00edtica no PHP (outubro de 2026): o que \u00e9 e como proteger seu site"},"content":{"rendered":"<p>Em 21 de outubro de 2026, o projeto PHP publicou uma atualiza\u00e7\u00e3o de emerg\u00eancia para corrigir <strong>duas falhas cr\u00edticas<\/strong>, registradas como <strong>CVE-2026-109618<\/strong> e <strong>CVE-2026-109619<\/strong>. As duas receberam nota <strong>9,2 de 10<\/strong> (CVSS v4.0) e podem permitir que algu\u00e9m execute c\u00f3digo no servidor <strong>sem usu\u00e1rio e sem senha<\/strong>.<\/p>\n<p><strong>Resposta r\u00e1pida:<\/strong> se o seu site roda em PHP (e todo site WordPress roda), a vers\u00e3o do PHP precisa ser <strong>8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou mais nova<\/strong>. Atualizar o WordPress e os plugins <strong>n\u00e3o resolve<\/strong>: a corre\u00e7\u00e3o \u00e9 no servidor. Quem cuida do PHP \u00e9 a sua hospedagem ou quem administra o seu servidor.<\/p>\n<blockquote>\n<p><strong>Clientes da W2 Websites:<\/strong> todos os nossos servidores foram atualizados em menos de 24 horas ap\u00f3s o alerta, sem tirar nenhum site do ar, inclusive os que ainda usam vers\u00f5es antigas do PHP. Voc\u00ea n\u00e3o precisa fazer nada.<\/p>\n<\/blockquote>\n<h2>O que s\u00e3o as duas falhas, sem tecniqu\u00eas<\/h2>\n<p>O PHP \u00e9 a linguagem que monta as p\u00e1ginas do site no servidor a cada visita. As duas falhas est\u00e3o na forma como ele organiza a mem\u00f3ria entre uma visita e outra:<\/p>\n<ul>\n<li><strong>CVE-2026-109618<\/strong>: quando o PHP fica sem mem\u00f3ria no meio de uma requisi\u00e7\u00e3o, alguns dados internos ficam &#8220;pela metade&#8221;. Na limpeza, ele pode tratar esses dados como v\u00e1lidos, e isso abre caminho para executar c\u00f3digo.<\/li>\n<li><strong>CVE-2026-109619<\/strong>: uma informa\u00e7\u00e3o de uma visita pode sobrar na mem\u00f3ria depois de liberada e ser reaproveitada pela visita seguinte, antes de ser zerada.<\/li>\n<\/ul>\n<p>Na pr\u00e1tica, um invasor pode montar uma requisi\u00e7\u00e3o feita para provocar essas situa\u00e7\u00f5es. O ponto mais grave: <strong>o ataque acontece antes de o WordPress carregar<\/strong>. Plugin de seguran\u00e7a, senha forte e WordPress atualizado n\u00e3o chegam a entrar em a\u00e7\u00e3o.<\/p>\n<h2>Isso \u00e9 amea\u00e7a real ou exagero?<\/h2>\n<p>\u00c9 real. A equipe do Wordfence, um dos plugins de seguran\u00e7a para WordPress mais usados, testou as duas falhas em laborat\u00f3rio:<\/p>\n<ul>\n<li>na <strong>CVE-2026-109619<\/strong>, conseguiu executar c\u00f3digo num PHP configurado de um jeito espec\u00edfico; no PHP comum, o mesmo teste derrubou o processo;<\/li>\n<li>na <strong>CVE-2026-109618<\/strong>, o PHP vulner\u00e1vel falhou numa requisi\u00e7\u00e3o que o PHP corrigido tratou normalmente.<\/li>\n<\/ul>\n<p>A conclus\u00e3o deles: o ataque pode precisar ser adaptado a cada servidor, <strong>mas isso n\u00e3o torna seguro um servidor sem a corre\u00e7\u00e3o<\/strong>. O pr\u00f3prio WordPress.org publicou um aviso pedindo a atualiza\u00e7\u00e3o imediata, e algumas ag\u00eancias nacionais de seguran\u00e7a recomendam at\u00e9 tirar o sistema do ar quando n\u00e3o for poss\u00edvel corrigir logo.<\/p>\n<h2>Quem est\u00e1 exposto<\/h2>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th>Situa\u00e7\u00e3o<\/th>\n<th>Risco<\/th>\n<th>O que fazer<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>PHP 8.2, 8.3, 8.4 ou 8.5 <strong>sem<\/strong> a vers\u00e3o corrigida<\/td>\n<td>Alto<\/td>\n<td>Atualizar e reiniciar o PHP<\/td>\n<\/tr>\n<tr>\n<td>PHP 8.1, 8.0, 7.4 ou mais antigo<\/td>\n<td>Alto, e n\u00e3o haver\u00e1 vers\u00e3o nova oficial<\/td>\n<td>Migrar para 8.3 ou aplicar o patch publicado pelo time do PHP (s\u00f3 quem compila o PHP)<\/td>\n<\/tr>\n<tr>\n<td>Hospedagem compartilhada<\/td>\n<td>Depende da hospedagem<\/td>\n<td>Pedir confirma\u00e7\u00e3o por escrito de que a corre\u00e7\u00e3o foi instalada<\/td>\n<\/tr>\n<tr>\n<td>Servidor pr\u00f3prio (VPS, nuvem, dedicado)<\/td>\n<td>Alto at\u00e9 algu\u00e9m atualizar<\/td>\n<td>Atualizar, <strong>reiniciar<\/strong> todos os processos do PHP, recriar containers<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<p>O comunicado oficial do PHP diz que o risco \u00e9 maior no <strong>mod_php<\/strong> (PHP rodando dentro do Apache), mas nenhum modo de execu\u00e7\u00e3o est\u00e1 livre.<\/p>\n<h2>Como descobrir a vers\u00e3o do PHP do seu site<\/h2>\n<ol>\n<li>No painel do WordPress, v\u00e1 em <strong>Ferramentas \u2192 Sa\u00fade do site \u2192 Informa\u00e7\u00f5es<\/strong>.<\/li>\n<li>Abra a se\u00e7\u00e3o <strong>Servidor<\/strong> e veja a linha <strong>Vers\u00e3o do PHP<\/strong>.<\/li>\n<li>Compare com a lista: 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou mais nova dentro da mesma s\u00e9rie).<\/li>\n<\/ol>\n<p>Tamb\u00e9m d\u00e1 para ver no painel da hospedagem (cPanel, DirectAdmin, hPanel etc.), em algo como &#8220;Selecionar vers\u00e3o do PHP&#8221;.<\/p>\n<p><strong>Aten\u00e7\u00e3o a um detalhe que confunde muita gente:<\/strong> o n\u00famero da vers\u00e3o nem sempre muda. Distribui\u00e7\u00f5es Linux e alguns fornecedores aplicam a corre\u00e7\u00e3o numa vers\u00e3o antiga e mant\u00eam o mesmo n\u00famero. O mesmo vale para o 7.4 e o 8.1 corrigidos com o patch oficial: continuam aparecendo como 7.4.33 e 8.1.34. Nesses casos, quem confirma a corre\u00e7\u00e3o \u00e9 a hospedagem, pela data de compila\u00e7\u00e3o ou pelo aviso de seguran\u00e7a dela.<\/p>\n<h2>O que fazer agora, conforme o tipo de hospedagem<\/h2>\n<h3>Hospedagem compartilhada ou gerenciada<\/h3>\n<p>Quem atualiza o PHP \u00e9 a hospedagem, n\u00e3o voc\u00ea. Abra um chamado e pe\u00e7a uma confirma\u00e7\u00e3o <strong>espec\u00edfica do seu servidor<\/strong>:<\/p>\n<ul>\n<li>se as duas corre\u00e7\u00f5es (CVE-2026-109618 e CVE-2026-109619) foram instaladas;<\/li>\n<li>se o PHP foi <strong>reiniciado<\/strong> depois disso.<\/li>\n<\/ul>\n<p>Muitas hospedagens tamb\u00e9m ativaram regras extras de firewall (WAF) contra o ataque. Isso ajuda, mas n\u00e3o substitui a atualiza\u00e7\u00e3o.<\/p>\n<h3>Servidor pr\u00f3prio: VPS, nuvem ou dedicado<\/h3>\n<ol>\n<li><strong>Backup<\/strong> do site e do banco antes de mexer.<\/li>\n<li><strong>Atualize o PHP<\/strong> para a vers\u00e3o corrigida da sua s\u00e9rie.<\/li>\n<li><strong>Reinicie<\/strong> o PHP-FPM, o Apache ou o LiteSpeed. O processo que j\u00e1 est\u00e1 rodando continua com o c\u00f3digo antigo na mem\u00f3ria at\u00e9 ser recarregado.<\/li>\n<li>Se usa Docker, <strong>recrie as imagens<\/strong> a partir de uma base atualizada.<\/li>\n<li><strong>Teste as p\u00e1ginas principais<\/strong>: formul\u00e1rios, carrinho, login, \u00e1rea do cliente.<\/li>\n<li>Confira o painel de administra\u00e7\u00e3o do servidor. Alguns pain\u00e9is rodam com um PHP pr\u00f3prio, separado do PHP dos sites, que tamb\u00e9m precisa de corre\u00e7\u00e3o ou n\u00e3o deve ficar aberto para a internet.<\/li>\n<\/ol>\n<h3>N\u00e3o d\u00e1 para atualizar hoje?<\/h3>\n<p>O comunicado do PHP lista medidas que <strong>reduzem<\/strong> a exposi\u00e7\u00e3o, mas avisa que n\u00e3o deixam a instala\u00e7\u00e3o segura:<\/p>\n<ul>\n<li>para a CVE-2026-109619: desligar <code>session.upload_progress.enabled<\/code> no <code>php.ini<\/code> ou na configura\u00e7\u00e3o do pool e reiniciar o PHP;<\/li>\n<li>para a CVE-2026-109618: ajustes de <code>memory_limit<\/code> e <code>post_max_size<\/code> feitos no servidor (n\u00e3o no <code>.htaccess<\/code> nem com <code>ini_set()<\/code>).<\/li>\n<\/ul>\n<p>S\u00e3o ajustes de servidor e podem afetar o funcionamento do site. Se n\u00e3o tiver certeza, pe\u00e7a a quem administra o servidor.<\/p>\n<h2>Como foi do nosso lado<\/h2>\n<p>Na W2 Websites, o alerta chegou na tarde de 21 de outubro. Nos servidores que administramos:<\/p>\n<ul>\n<li>atualizamos o PHP 8.3 para a vers\u00e3o 8.3.36 e o 8.4 para a 8.4.27;<\/li>\n<li>aplicamos o patch oficial do time do PHP nas vers\u00f5es 7.4 e 8.1, que alguns sites ainda usam por compatibilidade;<\/li>\n<li>recarregamos todos os processos do PHP e conferimos, um por um, que nenhum continuava rodando o c\u00f3digo antigo;<\/li>\n<li>tudo isso <strong>sem tirar nenhum site do ar<\/strong>.<\/li>\n<\/ul>\n<p>Tamb\u00e9m atendemos clientes que est\u00e3o em outras hospedagens. Num servidor em nuvem, o PHP do site foi de 8.2.32 para 8.2.35, com backup completo antes, 14 p\u00e1ginas testadas antes e depois e o painel de administra\u00e7\u00e3o do servidor (que usava um PHP antigo sem corre\u00e7\u00e3o) retirado do acesso p\u00fablico. Num site em hospedagem compartilhada, onde a atualiza\u00e7\u00e3o depende da pr\u00f3pria hospedagem, pedimos a confirma\u00e7\u00e3o por escrito e, enquanto isso, bloqueamos a execu\u00e7\u00e3o de PHP na pasta de uploads e desativamos a edi\u00e7\u00e3o de c\u00f3digo pelo painel do WordPress.<\/p>\n<h2>E se o site j\u00e1 tiver sido atacado?<\/h2>\n<p>Corrigir o PHP fecha a porta, mas n\u00e3o remove quem j\u00e1 entrou. Fique atento a:<\/p>\n<ul>\n<li>arquivos <code>.php<\/code> novos dentro de <code>wp-content\/uploads<\/code>;<\/li>\n<li>usu\u00e1rios administradores que voc\u00ea n\u00e3o criou;<\/li>\n<li>redirecionamentos para sites de apostas ou golpes, \u00e0s vezes s\u00f3 no celular ou s\u00f3 para quem vem do Google;<\/li>\n<li>avisos de &#8220;site perigoso&#8221; no navegador ou no Search Console.<\/li>\n<\/ul>\n<p>Se notar algo assim, siga o nosso guia <a href=\"https:\/\/w2websites.com\/blog\/site-wordpress-hackeado-o-que-fazer\/\">site WordPress hackeado: o que fazer agora<\/a>. Uma invas\u00e3o pode n\u00e3o deixar sinal nenhum na tela.<\/p>\n<h2>Perguntas frequentes<\/h2>\n<p><strong>Preciso atualizar o WordPress por causa dessa falha?<\/strong><br \/>N\u00e3o. A falha \u00e9 no PHP, n\u00e3o no WordPress, e o WordPress.org confirmou que n\u00e3o haver\u00e1 atualiza\u00e7\u00e3o do WordPress para isso. Manter WordPress e plugins atualizados continua importante, mas n\u00e3o corrige essas duas falhas.<\/p>\n<p><strong>Meu site est\u00e1 na vers\u00e3o 7.4. Estou vulner\u00e1vel?<\/strong><br \/>Sim, a menos que a hospedagem tenha aplicado o patch publicado pelo time do PHP para essa vers\u00e3o. O PHP 7.4 n\u00e3o recebe vers\u00f5es novas desde 2022. O caminho definitivo \u00e9 migrar para o PHP 8.3, testando o site antes.<\/p>\n<p><strong>A hospedagem disse que tem firewall. Basta?<\/strong><br \/>N\u00e3o. O WAF pode bloquear as tentativas conhecidas, mas o pr\u00f3prio comunicado do PHP diz que s\u00f3 a atualiza\u00e7\u00e3o resolve por completo.<\/p>\n<p><strong>Atualizar o PHP pode quebrar o site?<\/strong><br \/>Dentro da mesma s\u00e9rie (8.2.x para 8.2.35, por exemplo), \u00e9 raro. Mudar de s\u00e9rie (7.4 para 8.3) pode quebrar tema ou plugin antigo. Por isso, backup antes e teste depois.<\/p>\n<p><strong>Como saber se a minha hospedagem j\u00e1 corrigiu?<\/strong><br \/>Pergunte por escrito, citando os dois c\u00f3digos (CVE-2026-109618 e CVE-2026-109619), e pe\u00e7a a confirma\u00e7\u00e3o de que o PHP foi reiniciado.<\/p>\n<h2>Precisa de ajuda?<\/h2>\n<p>Se o seu site n\u00e3o est\u00e1 com a W2 e voc\u00ea n\u00e3o sabe se o PHP j\u00e1 foi corrigido, n\u00f3s verificamos o servidor, fazemos backup, atualizamos e testamos as p\u00e1ginas principais. Funciona em qualquer hospedagem, inclusive servidor pr\u00f3prio.<\/p>\n<ul>\n<li><strong>Site j\u00e1 invadido:<\/strong> <a href=\"https:\/\/w2websites.com\/remocao-de-malware\">remo\u00e7\u00e3o de malware<\/a>, a partir de R$ 497.<\/li>\n<li><strong>Para n\u00e3o depender de alerta no e-mail:<\/strong> <a href=\"https:\/\/w2websites.com\/manutencao\">manuten\u00e7\u00e3o de sites<\/a>, a partir de R$ 200\/m\u00eas, com atualiza\u00e7\u00f5es e acompanhamento de seguran\u00e7a.<\/li>\n<li><strong>Hospedagem j\u00e1 atualizada:<\/strong> <a href=\"https:\/\/w2websites.com\/hospedagem-de-sites\">hospedagem de sites<\/a>, a partir de R$ 49\/m\u00eas, ou <a href=\"https:\/\/w2websites.com\/servidor-dedicado\">servidor dedicado gerenciado<\/a>.<\/li>\n<\/ul>\n<p><a href=\"http:\/\/api.whatsapp.com\/send?phone=5511974367285&amp;text=Ol%C3%A1%2C%20quero%20verificar%20se%20o%20PHP%20do%20meu%20site%20j%C3%A1%20foi%20corrigido\" target=\"_blank\" rel=\"noopener\">Falar no WhatsApp<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Em 21 de outubro de 2026, o projeto PHP publicou uma atualiza\u00e7\u00e3o de emerg\u00eancia para corrigir duas falhas cr\u00edticas, registradas como CVE-2026-109618 e CVE-2026-109619. As duas receberam nota 9,2 de\u2026<\/p>\n","protected":false},"author":4,"featured_media":28001,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_joinchat":[],"footnotes":""},"categories":[68,13],"tags":[],"class_list":["post-28000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-manutencao-e-seguranca","category-wordpress"],"jetpack_featured_media_url":"https:\/\/w2websites.com\/blog\/wp-content\/uploads\/2026\/10\/falha-critica-php-capa.webp","_links":{"self":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts\/28000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/comments?post=28000"}],"version-history":[{"count":0,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/posts\/28000\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/media\/28001"}],"wp:attachment":[{"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/media?parent=28000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/categories?post=28000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/w2websites.com\/blog\/wp-json\/wp\/v2\/tags?post=28000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}