Vulnerabilidades do PHP em 2026: PHP2Shell, PHP 8.2 e como proteger seu site

O que é o PHP2Shell e quem é afetado?

PHP2Shell é o nome dado a duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619. As duas têm nota 9,2 de 10 na escala CVSS 4.0 e permitem execução remota de código, ou seja, que um atacante rode as próprias instruções no seu servidor (php.net).

Elas afetam quase qualquer instalação de PHP que sirva páginas web: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Segundo o aviso oficial, o risco é maior com mod_php. O próprio projeto esclarece que não existe mitigação completa e que atualizar é a única opção segura (php.net).

A Cloudflare informou que viu tráfego de ataque contra essas falhas e que ativou regras de proteção no seu firewall para todos os planos, inclusive o gratuito, cerca de nove horas antes de as falhas virem a público (Cloudflare). Esse firewall ajuda, mas não substitui a atualização.

Quais versões do PHP têm suporte hoje?

Fonte: php.net, versões com suporte. Cada versão tem dois anos de suporte ativo e mais dois anos de correções de segurança.

Existem alguns patches mínimos para 7.4, 8.0 e 8.1 publicados pela comunidade, e certos fornecedores oferecem suporte estendido. São soluções de transição, não um motivo para continuar nessas versões.

Quantos sites usam uma versão antiga?

Mais do que parece. Em janeiro de 2026, o WordPress publicou quais versões do PHP suas instalações usavam: 22,2% ainda estavam no PHP 7.4 e 27,3% no PHP 8.2 (WordPress). Somando o 8.1 e os anteriores, quase metade dos sites WordPress daquele momento rodava em versões que já não recebiam correções. O WordPress recomenda o PHP 8.3 e, desde a versão 7.0, exige no mínimo o PHP 7.4.

Na web em geral, a W3Techs estima que o PHP é usado em 69,2% dos sites cuja linguagem de servidor pode ser identificada, e que 34,3% deles ainda usam PHP 7 ou PHP 5 (W3Techs).

Como sei qual versão do PHP meu site usa?

1. No WordPress, acesse Ferramentas > Saúde do site > Informação > Servidor. A versão do PHP aparece ali.
2. No cPanel, procure Selecionar versão do PHP ou MultiPHP Manager.
3. Se você não tiver acesso, pergunte ao seu provedor de hospedagem: “Qual a versão exata do PHP do meu site e ela já tem a correção de 21 de outubro de 2026?”.

Confira o número completo. Por exemplo, 8.3.36 está corrigida e 8.3.30 não.

O que faço se minha versão estiver desatualizada?

1. Faça um backup completo (arquivos e banco de dados) e guarde fora do servidor.
2. Teste a nova versão em uma cópia do site antes de mudar no site real. Saltos grandes, como do 7.4 para o 8.3, podem quebrar plugins ou temas antigos.
3. Atualize o WordPress, o tema e os plugins antes de mudar o PHP, porque as versões novas costumam ser as compatíveis.
4. Mude a versão do PHP e revise as páginas principais: início, formulários, carrinho e painel.
5. Se algo falhar, volte para a versão anterior no mesmo painel e corrija o plugin ou tema que deu erro.

Se o seu site está no 8.2 e funciona bem, atualize agora para o 8.2.35 e planeje a migração para o 8.3 ou 8.4 antes do fim do ano.

O que mais pode deixar meu site exposto?

A versão do PHP é só uma parte do problema. Nos sites WordPress, a maioria das vulnerabilidades publicadas a cada ano está em plugins e temas, não no núcleo. Estes são os riscos que o OWASP Top 10 de 2025 aponta como mais comuns em aplicações web (OWASP):

• Plugins, temas e bibliotecas com falhas conhecidas (falhas na cadeia de suprimentos de software). Um plugin abandonado pode ficar sem correção para sempre.
• Senhas fracas e contas sem verificação em duas etapas (falhas de autenticação).
• Formulários que aceitam qualquer arquivo, que podem ser usados para enviar código ao servidor.
• Injeção de SQL e XSS, quando o código não valida o que o visitante digita.
• Configuração insegura, como mostrar erros na tela ou permissões de arquivos abertas demais.

Lista de verificação para o seu site

• Versão do PHP corrigida (8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou posterior) e plano para sair do 8.2 antes de 31/12/2026.
• Backups automáticos fora do servidor, com uma restauração testada.
• Plugins e temas atualizados. Apague os que não usa e os que estão há mais de um ano sem atualização.
• Nunca instale plugins ou temas “nulled” (versões pagas piratas).
• Verificação em duas etapas (2FA) para administradores, senhas únicas e contas antigas removidas.
• Um firewall de aplicações web na frente do site, como o da Cloudflare ou o da sua hospedagem.
• Erros do PHP ocultos em produção, execução de PHP bloqueada na pasta de uploads e o editor de arquivos do WordPress desativado.
• Alguém responsável por aplicar correções críticas em menos de 24 horas.

Perguntas frequentes