A equipe de segurança do PHP lançou, nesta quarta-feira, 21 de outubro de 2026, correções de emergência para duas falhas críticas que permitem a invasores executarem código diretamente nos servidores de sites — sem precisar de login. A falha crítica no PHP afeta qualquer instalação que processe requisições de sites, e isso inclui boa parte da internet construída em cima da linguagem, como é o caso do WordPress.
As versões já corrigidas são a PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. De acordo com o time do PHP, atualizar é a única saída segura, já que não existe nenhuma solução paliativa capaz de neutralizar completamente as vulnerabilidades.
Como a falha crítica no PHP atinge os sites
Segundo o alerta oficial, todas as instalações que atendem requisições de sites estão expostas de alguma forma. O maior risco, porém, fica com servidores Apache que usam o mod_php — módulo que roda o PHP diretamente dentro do Apache. Nesses casos, já foi demonstrado um ataque capaz de ser executado antes mesmo do código do próprio site entrar em ação.
Vale lembrar: é o PHP que faz o WordPress funcionar no servidor. Ou seja, atualizar o WordPress em si ou seus plugins não resolve o problema, porque a correção precisa acontecer em uma camada mais profunda. Por isso, o caminho é pedir diretamente à hospedagem que instale a correção. Se a sua conta de hospedagem permitir trocar a versão do PHP pelo cPanel, vale conferir se a opção escolhida já inclui o patch.
Versões antigas do PHP pedem atenção redobrada
As versões PHP 8.1 e anteriores já estão na lista de fim de vida (end-of-life) e não recebem mais atualizações oficiais regulares. Mesmo assim, diante da gravidade do caso, o time do PHP disponibilizou correções limitadas em código-fonte para as versões 7.4, 8.0 e 8.1, voltadas a equipes que compilam o próprio PHP.
Além disso, provedores de hospedagem e fornecedores de suporte de longo prazo também podem oferecer suas próprias atualizações. No entanto, essas correções pontuais não significam volta do suporte contínuo — então o ideal é confirmar com a hospedagem se o site está protegido enquanto se organiza a migração para uma versão oficialmente suportada.
Sites governamentais saíram do ar antes mesmo da liberação do patch
O International Cyber Digest relatou que sites do parlamento holandês, da agência cibernética da Holanda, de serviços do governo finlandês e de universidades ficaram fora do ar antes mesmo do lançamento oficial da correção. Segundo a publicação, no caso da Finlândia, o desligamento foi tratado como medida preventiva, e não como consequência de uma invasão confirmada.
A Sansec também informou que a Câmara dos Representantes holandesa e o Centro Nacional de Segurança Cibernética do país tiraram seus sites do ar como precaução. Já o CERT-EU e o Centro Nacional de Segurança Cibernética do Reino Unido, antes da liberação do patch, recomendaram considerar isolamento temporário ou até o desligamento de sistemas nos casos em que uma proteção imediata não fosse possível.
O que fazer agora diante da falha crítica no PHP
Para quem usa WordPress, o primeiro passo é verificar a versão instalada: basta ir em Ferramentas > Saúde do Site, clicar em Informações e expandir o item Servidor. A partir daí, a Plustag IA recomenda alguns cuidados essenciais:
- Pedir à hospedagem que instale uma das versões já corrigidas citadas acima, ou confirmar que a atualização aplicada cobre as duas falhas.
- Se o site ainda roda em PHP 8.1 ou versão mais antiga, fazer backup imediatamente e organizar a migração — e perguntar à hospedagem se é possível aplicar, enquanto isso, uma correção fornecida pelo fornecedor.
Caso não seja possível aplicar o patch de imediato, vale avaliar com a equipe técnica tirar o site do ar temporariamente até a atualização ser concluída. Um firewall de aplicação web (WAF), como o Cloudflare, pode até bloquear algumas tentativas de ataque, mas não substitui a instalação da correção oficial. Além disso, se o site usa esse tipo de firewall, é importante garantir que todo o tráfego passe por ele — afinal, um invasor que consiga acessar o servidor diretamente pode simplesmente contornar essa proteção.
Depois de atualizar, o recomendado é verificar a existência de web shells (scripts maliciosos que dão acesso ao invasor), contas de administrador desconhecidas e alterações inesperadas em arquivos PHP. Isso porque aplicar o patch resolve a brecha, mas não desfaz uma invasão que já tenha ocorrido antes da correção.
Um sinal de que vulnerabilidades graves devem se tornar mais frequentes
O autor do texto original relembra que, em agosto, ao escrever sobre como a inteligência artificial está mudando a segurança de sites, já havia previsto que invasores conseguiriam agir mais rápido do que os fabricantes de software conseguem lançar correções. Relatos de uma ferramenta de ataque circulando antes mesmo da liberação deste patch do PHP mostram que esse descompasso de tempo já é realidade.
A correção já está disponível, mas só protege o site depois de efetivamente instalada — e uma invasão pode expor dados de clientes e prejudicar a visibilidade nos mecanismos de busca.
Por isso, a orientação é clara: converse com sua equipe técnica sobre auditar o código e monitorar atividades suspeitas, e alinhe com a hospedagem quem vai aplicar os patches de emergência ou tirar o site do ar, se necessário, enquanto a proteção não for garantida.
O texto original também chama atenção para um fator que amplia o problema: invasores podem usar modelos de IA sem restrições de segurança, que ganham capacidades avançadas por meio de um processo chamado destilação — basicamente, são treinados com base nas respostas de modelos mais potentes. Assim, recursos de IA cada vez mais sofisticados acabam chegando às mãos de maus atores sem as salvaguardas originais, dando a eles ferramentas melhores para encontrar e explorar falhas. É por isso que a expectativa é de que vulnerabilidades graves como essa sejam descobertas com mais frequência, e com cada vez menos tempo de reação para quem administra sites. Se preparar para esse novo ritmo, portanto, deixou de ser opcional e passou a fazer parte da própria estratégia de proteger um site e sua visibilidade nas buscas.
Com informações de searchenginejournal.com.
