A equipe de segurança do PHP divulgou um aviso prévio sobre o lançamento de uma atualização crítica de segurança, marcada para quarta-feira, 21 de outubro de 2026, às 14h00 UTC (10h00 no horário do leste dos Estados Unidos). A correção trata de duas vulnerabilidades críticas, ambas classificadas com nota 9.2 na escala CVSS v4.0. Como o PHP é a linguagem de programação sobre a qual o WordPress é construído, essa atualização crítica do PHP diz respeito a todo proprietário de site WordPress, independentemente de quais plugins ou temas estejam em uso.
Até o momento, a equipe responsável pelo PHP ainda não divulgou quais versões são afetadas, qual a natureza exata das falhas, nem quais versões receberão a correção — esses detalhes só serão publicados junto com o lançamento. Além disso, a equipe sinalizou que pode antecipar a liberação da atualização caso informações sobre as vulnerabilidades vazem publicamente ou caso haja indícios de exploração ativa. Por enquanto, não há nada para instalar; o recomendável é descobrir quem é responsável por atualizar o PHP no seu servidor e garantir que essa atualização possa ser aplicada rapidamente assim que estiver disponível.
Por que essa atualização crítica do PHP importa para sites WordPress
O PHP não faz parte do WordPress propriamente dito — trata-se de um software de servidor, geralmente instalado e gerenciado pela empresa de hospedagem. Isso traz duas consequências práticas que todo administrador de site precisa ter em mente:
- As atualizações automáticas do WordPress não aplicam essa correção. Atualizar o núcleo do WordPress, os plugins ou os temas não altera a versão do PHP em execução no servidor.
- Quem aplica a atualização depende do tipo de hospedagem contratada. Na maioria dos planos de hospedagem compartilhada ou gerenciada, é a própria hospedagem quem atualiza o PHP. Já em um VPS, servidor dedicado ou qualquer ambiente administrado pelo próprio usuário, a responsabilidade pela instalação recai sobre o proprietário do site ou seu desenvolvedor.
A pontuação CVSS mede a gravidade de uma vulnerabilidade em uma escala de 0 a 10, e o valor 9.2 está dentro da faixa considerada crítica. Como ainda não se sabe como essas falhas podem ser exploradas, também não é possível afirmar o quão fácil seria utilizá-las contra um site WordPress. Por isso, o ideal é tratar essa atualização como prioridade máxima assim que ela estiver disponível.
O que já se sabe e o que ainda está em aberto
Até agora, a equipe de segurança do PHP confirmou os seguintes pontos:
- O lançamento de uma atualização de segurança está agendado para quarta-feira, 21 de outubro de 2026, às 14h00 UTC.
- Ela corrige duas vulnerabilidades críticas, cada uma classificada com nota 9.2 na CVSS v4.0.
- O lançamento pode ocorrer antes do previsto caso detalhes das falhas sejam expostos publicamente ou caso se observe exploração ativa.
Ainda não foram publicados: as versões do PHP afetadas, os números das versões corrigidas, os identificadores CVE e os detalhes técnicos de ambas as vulnerabilidades. Esses dados devem ser atualizados assim que forem divulgados oficialmente.
Como verificar a versão do PHP do seu site
No painel do WordPress, basta acessar Ferramentas > Saúde do Site, abrir a aba Informações e expandir a seção Servidor — ali é exibida a versão do PHP em uso. De acordo com a página de versões suportadas do projeto PHP, atualmente recebem correções de segurança:
- PHP 8.5 e PHP 8.4: suporte ativo.
- PHP 8.3: apenas correções de segurança, até 31 de dezembro de 2027.
- PHP 8.2: apenas correções de segurança, até 31 de dezembro de 2026.
Se o site estiver rodando PHP 8.1 ou uma versão anterior, ele já está em uma versão que não recebe mais correções de segurança do projeto PHP. A equipe responsável não informou se essas vulnerabilidades afetam versões mais antigas, mas, de toda forma, versões sem suporte não devem receber nenhum patch. Nesse cenário, vale conversar com a hospedagem sobre a migração para uma versão suportada, testando o site previamente, já que plugins e temas mais antigos podem apresentar incompatibilidades em versões mais recentes do PHP.
O que fazer antes do lançamento da correção
- Descubra quem gerencia o PHP no seu servidor. Caso utilize um serviço de hospedagem, verifique a página de status do provedor ou entre em contato com o suporte para confirmar se e quando a atualização será aplicada. Muitas hospedagens atualizam o PHP automaticamente, mas vale confirmar.
- Se o servidor for administrado internamente, planeje uma janela de manutenção logo após as 14h00 UTC da quarta-feira. Vale lembrar que, caso o PHP seja instalado por meio de pacotes do sistema operacional, painel de controle ou imagens de containers, essas atualizações podem seguir um cronograma diferente do lançamento oficial do php.net — por isso, é importante checar diretamente com essa fonte.
- Faça um backup recente dos arquivos e do banco de dados do site antes de qualquer alteração no servidor, e confirme que esse backup pode ser restaurado sem problemas.
- Se houver um ambiente de staging disponível, use-o para testar a atualização antes de aplicá-la ao site em produção.
- Acompanhe os canais oficiais: a página inicial do php.net anunciará o lançamento, que pode ocorrer antes do horário previsto.
Monitoramento e recomendações da Plustag IA
A Plustag IA está acompanhando de perto o desenrolar desse lançamento. Assim que a equipe do PHP publicar os detalhes técnicos, será feita uma análise de ambas as vulnerabilidades, avaliando como elas podem impactar sites WordPress e se há possibilidade de proteção via firewall. Ainda assim, vale destacar que algumas vulnerabilidades do próprio PHP só podem ser corrigidas por meio da atualização do servidor — ou seja, independentemente do que for identificado nessa análise, atualizar o PHP continua sendo o passo mais importante.
O lançamento da correção do PHP está previsto para quarta-feira, 21 de outubro de 2026, às 14h00 UTC, podendo ocorrer antes caso detalhes vazem ou haja indícios de exploração ativa.
Linha do tempo e considerações finais
Em 20 de outubro de 2026, a equipe de segurança do PHP anunciou o lançamento iminente de uma atualização crítica, endereçando duas vulnerabilidades com nota 9.2 na CVSS v4.0. O lançamento propriamente dito está agendado para 21 de outubro de 2026, às 14h00 UTC.
Como o PHP opera na base de todo site WordPress, essa atualização afeta todos os proprietários de sites, independentemente do porte ou da finalidade da plataforma — e, diferentemente de outras correções, ela não chega por meio das atualizações do WordPress. Por isso, o recomendável é, desde já, verificar qual versão do PHP está em uso, confirmar se a hospedagem ou a equipe técnica interna ficará responsável pela aplicação da atualização e realizar um backup preventivo. Assim que a correção for liberada, o ideal é aplicá-la o quanto antes, com segurança, já que mais informações sobre as versões afetadas e corrigidas devem ser divulgadas oficialmente nos próximos dias.
Com informações de wordfence.com.
