Falha grave no PHP: o que fazer hoje para proteger o seu site

A equipa do PHP publicou hoje, 21 de outubro de 2026, correções de emergência para duas falhas críticas de execução remota de código (RCE), conhecidas como CVE-2026-109618 e CVE-2026-109619. Na prática, quem explorar estas falhas pode fazer um servidor executar comandos que não são do dono, o que abre a porta a alterar páginas e roubar dados. Como o PHP está por trás de uma enorme parte da web, incluindo o WordPress e muitas lojas online, o aviso vale para qualquer pessoa que gere um site. Esta é a lista do que se sabe e do que deve verificar hoje.

O que aconteceu

A 20 de outubro, um aviso da própria equipa do PHP pediu aos administradores que se preparassem para um lançamento de segurança fora do calendário normal. As falhas tinham sido mantidas em segredo até à correção, mas a informação vazou antes, com um post num fórum que já indicava os identificadores e a gravidade. A empresa de segurança watchTowr confirmou que o vazamento era real e que reproduziu as falhas em laboratório. As correções saíram a 21 de outubro, às 14:00 UTC.

Qual é a gravidade

O aviso oficial classifica cada falha com 9,2 numa escala de 10 (CVSS v4.0). Os primeiros relatos apontavam para 10, mas esse valor não foi confirmado. Ambas são falhas de execução remota de código, o tipo mais grave num servidor web. A watchTowr relata tentativas de exploração ativas, e a Cloudflare disse ter visto os primeiros ataques. Por isso, a recomendação é atualizar já, e não deixar para o fim de semana.

Que versões do PHP são afetadas

• PHP 8.2, 8.3, 8.4 e 8.5: afetadas até às versões corrigidas;
• PHP 5 e 7: afetadas, sem correção oficial;
• PHP 8.1 e anteriores: já não recebem atualizações oficiais da equipa do PHP. Só ficam protegidas se a distribuição Linux ou a empresa de alojamento aplicar a sua própria correção (backport), ou se mudar para uma versão suportada.

Segundo a watchTowr, as versões 5 e 7 também são afetadas, mas o aviso oficial do PHP não publicou, na altura, a lista completa de versões, por isso confirme sempre com o seu alojamento.

Versões corrigidas

Instale a versão que corresponde ao ramo que utiliza:

Depois de atualizar, reinicie os processos do PHP (por exemplo, o PHP-FPM) ou o servidor web, para que o novo interpretador seja carregado.

O que fazer hoje: lista rápida

1. Veja a versão do PHP que serve o seu site. No WordPress, vá a Ferramentas, Saúde do site, Informações. Em alojamentos com painel, a versão costuma estar na secção do PHP.
2. Atualize para uma versão corrigida (8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou posterior), ou confirme com o alojamento que já aplicou a correção.
3. Se usa PHP 8.1 ou anterior, mude para um ramo suportado assim que possível. Antes de mudar, teste o site, porque plugins e temas antigos podem não funcionar com versões novas.
4. Não confie em ajustes de configuração. Segundo a watchTowr, alterar ficheiros .ini não é uma mitigação eficaz. A atualização é a única correção completa.
5. Ative uma firewall de aplicações web (WAF), se tiver acesso. A Cloudflare publicou regras de emergência, mas a própria empresa descreve-as como temporárias.
6. Faça uma cópia de segurança do site e da base de dados antes de mexer, e guarde os registos (logs).
7. Procure sinais de intrusão: ficheiros novos na pasta do site, tarefas agendadas (cron) que não reconhece e contas novas.
8. Não execute programas de teste (provas de conceito) que circulem na internet. Podem ser maliciosos.

Quantos servidores estão em risco

A empresa de segurança Mallory contou cerca de 884 000 servidores expostos à internet cujo cabeçalho indicava PHP 8.1 ou anterior. Este número é uma estimativa feita a partir do que os servidores anunciam, e não uma lista de sistemas confirmados como vulneráveis. Muitos servidores escondem a versão, por isso o total real pode ser maior.

O que isto significa para quem tem um site em WordPress

O WordPress corre sobre PHP, por isso uma falha no PHP afeta o site mesmo que o WordPress e todos os plugins estejam atualizados. Em alojamento partilhado ou gerido, a atualização depende do fornecedor, que costuma aplicá-la por si. Vale a pena perguntar quando a correção chega ao seu plano, e confirmar a versão no painel.

Perguntas frequentes

O meu site foi afetado?

Se corre em PHP, em qualquer versão que ainda não tenha a correção, pode ser. Confirme a versão do PHP e atualize.

Há alguma forma de me proteger sem atualizar?

Não há uma mitigação completa. Uma firewall de aplicações web pode reduzir o risco por pouco tempo, mas a atualização é a única correção.

E se o meu alojamento ainda usa o PHP 7 ou 8.1?

Peça ao alojamento uma versão suportada, ou uma correção própria, e considere mudar de plano se não houver resposta. Essas versões não vão receber correção oficial da equipa do PHP.

Os sites vão mesmo sair do ar?

Não há confirmação disso. O risco real é um atacante conseguir executar comandos num servidor sem correção, e depois alterar páginas ou roubar informação.

Estas falhas já foram usadas em ataques?

A watchTowr relata tentativas de exploração e a Cloudflare diz ter visto os primeiros ataques, mas os dados de outros fornecedores eram diferentes no início do dia. Trate o risco como real.

Fontes

• Olhar Digital (Instagram): falha grave no PHP
• watchTowr: PHP remote code execution (php2shell)
• BleepingComputer: PHP warns admins of two critical flaws
• The Hacker News: PHP2Shell
• Phoenix Security: PHP Core RCE

Leia também: Tesla Cybercab

Para continuares a explorar o tema, lê também como proteger o computador e como identificar golpes na internet.