php2shell: o que é a falha crítica no PHP e o que fazer no seu site hoje

O que aconteceu em 21 de outubro

Na quarta-feira, 21 de outubro de 2026, o Poder Judiciário de Santa Catarina encerrou o expediente às 13h e entrou em regime de plantão. A Resolução GP n. 58, assinada no mesmo dia, fala em “indisponibilidade temporária dos sistemas” para uma “atualização não programada”. Os prazos que venceriam na quarta foram prorrogados para 22 de outubro, com base no art. 224, §1º do Código de Processo Civil.

O tribunal não informou a causa. O que se sabe é que a parada aconteceu no mesmo dia em que o PHP soltou uma correção de emergência para duas falhas críticas, apelidadas de php2shell. E que, no mundo inteiro, equipes de tecnologia passaram a quarta correndo para atualizar servidores.

Este texto explica o que é isso sem pânico e sem jargão. E, principalmente, o que você, que toca um negócio com site, precisa fazer hoje.

O que é PHP, em linguagem de dono de negócio

PHP é uma linguagem de programação que roda no servidor, ou seja, no computador onde o seu site mora. Quando alguém abre uma página, é o PHP que monta essa página na hora. Ele está por trás de boa parte dos sites da internet, inclusive do WordPress, a plataforma mais comum em sites de empresas, blogs e lojas virtuais.

Se o seu site é WordPress, ele roda em PHP. Se foi feito sob medida por uma agência, há boa chance de rodar também. Você não precisa saber programar para isso importar. Precisa saber que existe e quem cuida.

O que é o php2shell e por que a nota 9,2 é grave

php2shell é o nome dado a duas falhas no próprio PHP. A CVE-2026-109618 é uma corrupção de memória que aparece quando falta memória. A CVE-2026-109619 envolve um “estado global obsoleto”: informação velha que o sistema reaproveita quando não deveria. CVE, aliás, é só o número de registro de uma falha de segurança, como a placa de um carro.

As duas receberam nota 9,2 na escala CVSS v4.0, que vai de 0 a 10 e mede a gravidade de uma falha. Acima de 9 é crítico. O motivo é que elas permitem execução remota de código sem autenticação. Traduzindo: alguém de fora, sem login e sem senha, pode fazer o seu servidor rodar comandos dele. Daí o apelido, do PHP até o “shell”, a linha de comando que controla a máquina.

O alcance é largo. As falhas afetam praticamente toda instalação de PHP que atende requisições web desde a versão 5.4: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O Olhar Digital citou uma estimativa de mais de 1,3 milhão de servidores e sites WordPress expostos.

O vazamento, a corrida e a IA na caça às falhas

Os detalhes das falhas vazaram em 20 de outubro, antes da hora. A correção oficial saiu no dia seguinte, 21 de outubro, por volta das 14h UTC (11h de Brasília). Houve, portanto, uma janela em que muita gente sabia do problema e ainda não havia remédio publicado.

A CISA, agência de cibersegurança do governo dos Estados Unidos, orientou atualizar imediatamente e, se não for possível, tirar o sistema do ar. Pediu também a atualização de quem ainda está no PHP 8.1 ou anterior, versões que já não recebem suporte. A CISA disse não ter observado exploração das falhas até a publicação do alerta. A Cloudflare, por outro lado, relatou tráfego de ataque mirando as falhas. As duas informações convivem, e a segunda é a que deve guiar a sua pressa.

Um detalhe merece atenção. As falhas foram reportadas por pesquisadores da Wiz, da Calif e da OpenAI. A empresa do ChatGPT numa lista de quem encontra falha em infraestrutura da internet não é curiosidade, é sinal de época. Com inteligência artificial ajudando a ler código, as falhas vão aparecer mais rápido, para quem defende e para quem ataca. A consequência prática é simples: a atualização do seu site tem que acompanhar esse ritmo. “Atualizo quando der” virou risco de negócio.

O que fazer hoje, passo a passo

1. Pergunte hoje a quem cuida do seu site. Hospedagem, agência, freelancer ou TI interna: alguém tem a chave do servidor. Não espere o aviso chegar. Mande uma mensagem como esta, pode copiar:

Oi, tudo bem? Em 21/10/2026 saiu a correção das falhas php2shell no PHP (CVE-2026-109618 e CVE-2026-109619). Você pode me confirmar três coisas: qual versão do PHP o nosso site usa; se ela já foi atualizada para uma versão corrigida (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou o pacote corrigido do sistema); e se foi feito backup antes? Se ainda não atualizou, qual é o prazo? Obrigado.

2. Descubra a versão você mesmo. No painel da hospedagem costuma haver uma área chamada “Versão do PHP” ou “Configurações do PHP”. No WordPress, o caminho é Ferramentas > Saúde do site > Informação > Servidor: a versão do PHP aparece ali. Assim você confere a resposta que receber.
3. Tenha um backup recente fora do servidor antes de mexer. Backup guardado no mesmo servidor do site cai junto com ele. Peça uma cópia completa, arquivos e banco de dados, guardada em outro lugar.
4. No WordPress, atualize tudo e faça faxina. A falha é do PHP, não do WordPress, mas o momento é bom para fechar as outras portas. Núcleo, plugins e temas na versão mais recente. Plugin desativado e esquecido não é inofensivo: se não usa, apague.
5. Versão sem suporte pede plano de migração. Se o site roda no PHP 8.1 ou anterior, está numa versão que não recebe mais correção oficial. Para 7.4, 8.0 e 8.1 existem patches de código-fonte, mas eles servem a quem compila o próprio PHP, o que quase nunca é o caso de uma pequena empresa. O caminho é migrar para uma versão suportada, com teste antes, porque site antigo às vezes quebra na versão nova. Ponha data nisso.
6. Proteção na frente ajuda, mas não substitui. Um firewall de aplicação, como o da Cloudflare, filtra parte do tráfego malicioso antes de ele chegar ao servidor. É uma boa camada. Não é a atualização. Ajustes de configuração também reduzem parte do risco, mas só a atualização protege por completo.
7. Senha forte e dois fatores no painel. Painel da hospedagem, painel do WordPress, conta do domínio e o e-mail de quem administra tudo isso. Dois fatores é aquele segundo código, no celular, que vem além da senha. Se alguém tentar entrar, que não seja pela porta da frente.

Para quem é técnico

Versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para 7.4, 8.0 e 8.1 há patches de código-fonte para quem compila o próprio PHP. As distribuições Linux receberam os patches antes da publicação oficial, então o pacote do seu sistema pode já estar corrigido com outro número de versão: confira o aviso de segurança do fornecedor. Apache com mod_php é o cenário mais urgente, porque o ataque roda antes de qualquer código da aplicação. Desligar o session upload progress reduz parte do risco da CVE-2026-109619, mas é paliativo: só a atualização fecha as duas falhas.

Atualizar não é tarefa de TI. É decisão de dono.

No Clã a gente fala muito de instinto animal contra piloto automático. O piloto automático diz: o site está no ar, então está tudo bem. O instinto pergunta: quem cuida disso, quando foi a última atualização e o que acontece com o meu negócio se o site cair ou for invadido amanhã?

TI executa. Cobrar, dar prazo e pagar pela manutenção é decisão de quem é dono. Um tribunal consegue decretar plantão e prorrogar prazos quando precisa parar os sistemas. A sua empresa provavelmente não tem esse luxo: o cliente que encontra o site fora do ar não espera o dia seguinte.

Se você quer acompanhar esse tipo de assunto sem susto e sem hype, o Radar do Clã traz todo dia o que mudou em tecnologia e IA e o que isso significa para quem toca negócio. E a conversa continua no grupo do Nosso Clã, logo aqui embaixo.

Fontes

• CISA: Critical Vulnerabilities in PHP Require Immediate Patching (21/10/2026)
• Qualys: PHP Announces Critical Security Release for Two Vulnerabilities (20/10/2026)
• The Hacker News: PHP Issues Emergency Patches for Two Critical Flaws
• Help Net Security: php2shell, PHP vulnerabilities patched (21/10/2026)
• Google Cloud: Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619
• Olhar Digital: Falha grave no PHP ameaça tirar milhares de sites do ar (21/10/2026)
• TJSC: PJSC atuará em regime de plantão nesta quarta-feira para atualização de sistemas