Atualizar plugins não corrige uma falha no PHP do servidor. Em 21 de outubro de 2026, o projeto PHP publicou correções de segurança para duas falhas críticas que, segundo o próprio PHP.net, podem permitir execução de código no servidor sem login. Se o seu site abre normalmente, isso não prova que ele esteja corrigido.
O que aconteceu
No dia 20 de outubro, a equipe de segurança do PHP avisou que lançaria uma versão crítica no dia seguinte. Em 21 de outubro vieram as versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. As duas falhas receberam nota 9,2 (CVSS v4.0):
- CVE-2026-109618: execução remota de código por corrupção de memória quando o PHP fica sem memória durante o tratamento de uma requisição.
- CVE-2026-109619: execução remota de código por estado interno que sobrevive depois de a memória ter sido liberada e é reaproveitado por uma requisição seguinte no mesmo processo.
Segundo o aviso oficial, todas as instalações de PHP que atendem requisições web podem ser afetadas, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é maior no mod_php, onde o PHP.net descreve um exploit demonstrado em que uma requisição sem login aciona o ataque antes de qualquer código da aplicação rodar.
Quem pode ser afetado
Qualquer site ou sistema que rode em PHP num ambiente ainda sem a correção: WordPress, WooCommerce, Laravel e sistemas próprios. A falha está no PHP do servidor, não no plugin, no tema ou no código do seu site. Por isso, atualizar plugins e temas não resolve esse problema.
Versões antigas pedem mais atenção. O PHP 8.1 e anteriores não recebem mais atualizações do projeto. Algumas distribuições e fornecedores de suporte estendido entregam correções próprias, e o PHP.net também publicou correções mínimas de código-fonte para PHP 7.4, 8.0 e 8.1, para quem compila o próprio PHP. A versão 8.2 sai de suporte em 31 de dezembro de 2026.
O que fazer agora
- Peça ao seu provedor de hospedagem a versão do PHP e a confirmação do pacote de segurança aplicado. Cada provedor precisa aplicar e validar a correção no próprio ambiente, e não existe uma data única para isso.
- Depois da atualização, teste o site (páginas, formulários, login, checkout) para garantir que nada quebrou.
- Revise os registros de acesso do servidor em busca de requisições estranhas, principalmente no período entre 20 e 21 de outubro.
- Não confie só em firewall ou WAF. Eles ajudam, mas não substituem a atualização do PHP.
E se a hospedagem ainda não atualizou?
Só a atualização resolve de forma completa. Enquanto ela não chega, o PHP.net lista medidas que reduzem a exposição a caminhos específicos de ataque, mas não tornam a instalação segura: limitar o tamanho de requisições (post_max_size), desativar session.upload_progress.enabled e remover configurações que gerem avisos antes da inicialização. Essas mudanças devem ser feitas por quem administra o servidor, e o site precisa ser testado depois.
Como a 2N Digital está tratando
A 2N está mapeando os ambientes sob sua gestão. Só vamos chamar um site de corrigido depois de confirmar a versão do PHP e os testes. Um site que continua abrindo não prova que está protegido.
Se o seu site ou sistema roda em PHP e você não sabe em qual versão, fale com a 2N Digital. Verificamos a versão, acompanhamos a confirmação com a hospedagem e testamos o site depois da atualização.
Perguntas rápidas
Meu site é WordPress. Preciso me preocupar? Sim, se ele roda em um servidor com PHP ainda sem a correção. A falha é do PHP, não do WordPress.
Atualizar os plugins resolve? Não. Plugins são uma camada acima. A correção precisa ser feita no PHP, pela hospedagem ou por quem administra o servidor.
Como sei qual PHP meu site usa? Pergunte ao provedor de hospedagem ou a quem cuida do seu site. Não adianta olhar só se o site abre.
Fonte
- PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21/10/2026)
- PHP.net: Upcoming Critical PHP Security Release (20/10/2026)
- Aviso técnico da CVE-2026-109618 (GitHub, php-src)
- Aviso técnico da CVE-2026-109619 (GitHub, php-src)
Publicado em 22 de outubro de 2026. Informações conforme os avisos oficiais do PHP.net nesta data.