Falha no PHP tira sites do ar no mundo todo: veja quem corre risco e como atualizar o PHP agora

A falha no PHP divulgada em 21 de outubro de 2026 é uma das mais graves dos últimos anos: duas brechas, apelidadas de php2shell, permitem que um invasor execute comandos em servidores de sites sem precisar de senha. O projeto PHP já lançou a correção, e quem tem site precisa atualizar agora. Para quem só navega na internet, não há nada para instalar no PC ou no celular, mas vale redobrar a atenção com golpes nos próximos dias.

Por precaução, governos da Europa e órgãos públicos no Brasil, como a Anatel, tiraram sistemas do ar enquanto aplicavam a atualização. Abaixo eu explico o que aconteceu, quem corre risco de verdade e o que fazer em cada caso.

O que é a falha no PHP e por que ela é tão grave

O PHP é uma linguagem de programação que roda nos servidores, ou seja, nos computadores que entregam as páginas dos sites. Ele monta a página antes de ela chegar ao seu navegador. Segundo a Cloudflare, quase 70% dos sites da internet usam PHP, incluindo plataformas como WordPress, Magento, Drupal e Joomla.

A falha no PHP foi registrada com dois códigos: CVE-2026-109618 e CVE-2026-109619. CVE é o “RG” de uma vulnerabilidade, um número único usado no mundo todo para identificar cada brecha. As duas receberam nota 9,2 de 10 na escala de gravidade CVSS 4.0, o que as coloca na faixa crítica.

O aviso oficial do projeto PHP diz que a falha no PHP pode permitir “execução remota de código sem autenticação”. Em português simples: alguém de fora consegue fazer o servidor rodar um programa dele, sem login e sem senha. A partir daí, o criminoso pode instalar programas maliciosos, copiar dados ou derrubar o serviço.

Como as duas brechas do php2shell funcionam

As duas falhas envolvem o jeito como o PHP cuida da memória quando algo dá errado no meio de uma requisição (o pedido que o navegador faz ao site). A Cloudflare explica que o problema aparece quando o PHP fica sem memória ou encontra um erro fatal e depois usa dados que não foram preparados direito ou memória que já tinha sido liberada.

• CVE-2026-109618 (corrupção por falta de memória): o PHP é interrompido antes de terminar de preparar os dados internos da requisição e, na limpeza, usa esses dados incompletos como se fossem válidos.
• CVE-2026-109619 (estado antigo na memória): um erro deixa referências para uma memória que já foi liberada, e uma requisição seguinte, atendida pelo mesmo processo, pode usar esse lixo.

Para explorar a falha no PHP, um invasor manda pedidos especialmente montados para provocar essas situações. O resultado pode ser o servidor travar, vazar informações ou executar o código do atacante.

Quais versões têm a falha no PHP e quais já estão corrigidas

De acordo com a Cloudflare, a falha no PHP afeta todos os servidores com PHP 5.4 ou mais novo. Ou seja, praticamente todas as versões usadas na última década. O projeto PHP lançou estas versões corrigidas no dia 21 de outubro:

Sobre a falha no PHP, o comunicado oficial é direto: “não existem mitigações completas, atualizar é a única escolha segura”. O projeto também avisa que as distribuições Linux e os fornecedores de suporte estendido receberam as correções com antecedência.

Quem corre risco com a falha no PHP

O risco é de quem mantém o servidor: donos de sites, lojas virtuais, blogs, empresas e órgãos públicos. O projeto PHP aponta como alvo todas as instalações que atendem a pedidos da web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é considerado maior no mod_php, em que um pedido sem login pode disparar o ataque antes mesmo de o código do site rodar.

E quem só usa a internet, precisa fazer algo?

Se você só acessa sites, a falha no PHP não está no seu computador nem no seu celular. Não existe atualização do Windows, do Android ou do navegador para essa brecha. O perigo para você é indireto: um site invadido pode vazar seus dados de cadastro ou ser usado para espalhar golpes.

Por isso, enquanto a falha no PHP estiver nas manchetes, eu recomendo três cuidados simples:

• Desconfie de e-mails e mensagens que falam em “atualização de cadastro” ou “problema na sua conta”. Golpistas aproveitam notícias grandes para enviar iscas.
• Use senhas diferentes em cada site. Se precisar, crie senhas fortes com o gerador de senha gratuito do Mestres da Informática.
• Deixe a proteção reforçada do Chrome contra sites suspeitos ligada, para ser avisado antes de abrir uma página perigosa.

Sites fora do ar no Brasil e no mundo

Segundo o ND Mais, a Anatel retirou temporariamente do ar o SEI (Sistema Eletrônico de Informações) por causa da falha no PHP, e tribunais regionais brasileiros também interromperam o acesso aos sistemas digitais. Na Europa, páginas do governo da Holanda, sistemas de hospitais e serviços do Porto de Roterdã saíram do ar, assim como serviços públicos na Finlândia e na França, segundo o Quero Bolsa.

É importante separar as coisas: tirar um site do ar foi, na maioria dos casos, uma medida de prevenção para aplicar a correção com calma. Isso não significa que houve invasão ou vazamento. A NSA, agência de segurança dos Estados Unidos, chegou a recomendar que sistemas vulneráveis fossem desligados até a atualização, se não desse para corrigir na hora.

A Cloudflare já viu ataques

A Cloudflare informou que a falha no PHP vazou antes da data oficial e que a empresa já observou tráfego de ataque contra clientes. Desde as 3h02 (horário UTC) de 21 de outubro, os clientes com firewall de aplicações web (WAF), inclusive no plano grátis, estão protegidos por regras automáticas contra o php2shell.

Mesmo assim, a própria Cloudflare reforça que essas regras são uma camada extra e não substituem a atualização do PHP no servidor.

Como atualizar o PHP do seu site e fechar a falha no PHP

Este é o ponto principal para quem tem site. A falha no PHP está no próprio PHP, e não no WordPress. Por isso, atualizar só o painel do WordPress, os temas ou os plugins não resolve, como alertou a empresa de segurança Wordfence. Antes de mexer, faça um backup completo do site e do banco de dados.

Passo 1: descubra a versão do PHP

No WordPress, vá em Ferramentas > Saúde do site > Informações e abra a seção Servidor. Ali aparece a versão do PHP em uso. Em outros sistemas, a versão costuma aparecer no painel da hospedagem.

Passo 2: atualize pelo painel da hospedagem

Se o seu site está em hospedagem compartilhada, quem atualiza o PHP é a empresa de hospedagem. Abra um chamado e pergunte se o servidor já recebeu a versão corrigida (8.5.12, 8.4.27, 8.3.36 ou 8.2.35, conforme o ramo). Em painéis como o cPanel, existe uma área para escolher a versão do PHP; o nome pode variar um pouco conforme a empresa.

Passo 3: em servidor próprio (VPS), atualize os pacotes

Se você administra o próprio servidor Linux, atualize os pacotes do PHP pelo gerenciador do sistema e reinicie o PHP-FPM ou o Apache. A Krebs on Security informou que o Ubuntu já liberou pacotes atualizados. Quem usa Ubuntu no dia a dia pode ver meu guia de instalação do Ubuntu 26.04 LTS para se familiarizar com o terminal.

Depois de atualizar o PHP, confira de novo a versão do PHP e fique de olho em arquivos estranhos no servidor. Especialistas da Wiz esperam ataques em massa para instalar “web shells”, programas que dão controle remoto do site ao invasor. Se notar algo suspeito, veja também como saber se um computador está infectado com malware.

Quem descobriu a falha no PHP e o papel da inteligência artificial

Segundo a Cloudflare, as brechas foram divulgadas de forma coordenada por Calif.io, Wiz, OpenAI e Quarkslab. A Wiz disse ao Krebs on Security que modelos de inteligência artificial de ponta reduziram bastante a dificuldade de transformar falhas antigas em um ataque funcional. A empresa comparou o caso ao Log4Shell, de 2021, pela quantidade de servidores afetados e pelo tempo que a correção deve levar para chegar a todos.

Pelos dados da Censys citados pelo Krebs on Security, são cerca de 2,58 milhões de servidores e 54,9 milhões de sites rodando PHP na internet. É por isso que a falha no PHP chamou tanta atenção.

Conclusão: o que eu recomendo fazer hoje

Se você tem site, trate a falha no PHP como prioridade: confira a versão, cobre a hospedagem e só fique tranquilo quando o servidor estiver em uma das versões corrigidas. Se você só navega, não precisa instalar nada, mas desconfie de mensagens estranhas e mantenha senhas fortes e diferentes.

Eu vou acompanhar o caso e atualizar este post se surgirem novidades, como novas versões ou relatos de ataques no Brasil.

Leia também

• Golpe do título de eleitor: SMS falso cobra Pix; veja como se proteger
• 3 VPNs grátis que funcionam de verdade e como escolher uma segura

Fontes

• PHP.net: aviso de segurança e versões corrigidas
• Cloudflare: proteções contra o php2shell

Perguntas frequentes

Preciso atualizar meu computador por causa da falha no PHP?

Não. O PHP roda nos servidores dos sites, não no Windows, no Android ou no navegador. A correção é responsabilidade de quem mantém cada site.

Atualizar o WordPress resolve a falha no PHP?

Não. A brecha está no próprio PHP. É preciso atualizar o PHP do servidor para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou pedir isso à hospedagem.

O que significa php2shell?

É o apelido dado às duas vulnerabilidades CVE-2026-109618 e CVE-2026-109619, que podem permitir a um invasor obter um acesso de comando (shell) no servidor.

Meus dados podem ter vazado?

Só se algum site em que você tem cadastro foi invadido. Tirar um site do ar foi, na maioria dos casos, prevenção. Se o site avisar sobre incidente, troque a senha e ative a verificação em duas etapas.

Quem usa PHP 7.4 ou 8.1 está protegido?

Essas versões não têm mais suporte oficial. O projeto PHP publicou apenas correções mínimas no código-fonte, e o recomendado é migrar para uma versão suportada e corrigida.

Fontes:

• PHP.net
• Cloudflare
• Krebs on Security
• ND Mais
• Quero Bolsa