{"id":38,"date":"2026-10-22T14:38:39","date_gmt":"2026-10-22T17:38:39","guid":{"rendered":"https:\/\/2nweb.com.br\/blog\/falha-critica-no-php-patch-21-outubro-2026-seu-site-esta-seguro\/"},"modified":"2026-10-22T14:38:39","modified_gmt":"2026-10-22T17:38:39","slug":"falha-critica-no-php-patch-21-outubro-2026-seu-site-esta-seguro","status":"publish","type":"post","link":"https:\/\/2nweb.com.br\/blog\/falha-critica-no-php-patch-21-outubro-2026-seu-site-esta-seguro\/","title":{"rendered":"Falha cr\u00edtica no PHP: seu site pode estar vulner\u00e1vel mesmo abrindo normalmente"},"content":{"rendered":"<p><strong>Atualizar plugins n\u00e3o corrige uma falha no PHP do servidor.<\/strong> Em 21 de outubro de 2026, o projeto PHP publicou corre\u00e7\u00f5es de seguran\u00e7a para <strong>duas falhas cr\u00edticas<\/strong> que, segundo o pr\u00f3prio PHP.net, podem permitir <strong>execu\u00e7\u00e3o de c\u00f3digo no servidor sem login<\/strong>. Se o seu site abre normalmente, isso n\u00e3o prova que ele esteja corrigido.<\/p>\n<h2>O que aconteceu<\/h2>\n<p>No dia 20 de outubro, a equipe de seguran\u00e7a do PHP avisou que lan\u00e7aria uma vers\u00e3o cr\u00edtica no dia seguinte. Em 21 de outubro vieram as vers\u00f5es corrigidas: <strong>PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35<\/strong>. As duas falhas receberam nota 9,2 (CVSS v4.0):<\/p>\n<ul>\n<li><strong>CVE-2026-109618<\/strong>: execu\u00e7\u00e3o remota de c\u00f3digo por corrup\u00e7\u00e3o de mem\u00f3ria quando o PHP fica sem mem\u00f3ria durante o tratamento de uma requisi\u00e7\u00e3o.<\/li>\n<li><strong>CVE-2026-109619<\/strong>: execu\u00e7\u00e3o remota de c\u00f3digo por estado interno que sobrevive depois de a mem\u00f3ria ter sido liberada e \u00e9 reaproveitado por uma requisi\u00e7\u00e3o seguinte no mesmo processo.<\/li>\n<\/ul>\n<p>Segundo o aviso oficial, todas as instala\u00e7\u00f5es de PHP que atendem requisi\u00e7\u00f5es web podem ser afetadas, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco \u00e9 maior no mod_php, onde o PHP.net descreve um exploit demonstrado em que uma requisi\u00e7\u00e3o sem login aciona o ataque antes de qualquer c\u00f3digo da aplica\u00e7\u00e3o rodar.<\/p>\n<h2>Quem pode ser afetado<\/h2>\n<p>Qualquer site ou sistema que rode em PHP num ambiente ainda sem a corre\u00e7\u00e3o: <strong>WordPress, WooCommerce, Laravel e sistemas pr\u00f3prios<\/strong>. A falha est\u00e1 no PHP do servidor, n\u00e3o no plugin, no tema ou no c\u00f3digo do seu site. Por isso, atualizar plugins e temas n\u00e3o resolve esse problema.<\/p>\n<p>Vers\u00f5es antigas pedem mais aten\u00e7\u00e3o. O PHP 8.1 e anteriores n\u00e3o recebem mais atualiza\u00e7\u00f5es do projeto. Algumas distribui\u00e7\u00f5es e fornecedores de suporte estendido entregam corre\u00e7\u00f5es pr\u00f3prias, e o PHP.net tamb\u00e9m publicou corre\u00e7\u00f5es m\u00ednimas de c\u00f3digo-fonte para PHP 7.4, 8.0 e 8.1, para quem compila o pr\u00f3prio PHP. A vers\u00e3o 8.2 sai de suporte em 31 de dezembro de 2026.<\/p>\n<h2>O que fazer agora<\/h2>\n<ol>\n<li><strong>Pe\u00e7a ao seu provedor de hospedagem a vers\u00e3o do PHP e a confirma\u00e7\u00e3o do pacote de seguran\u00e7a aplicado.<\/strong> Cada provedor precisa aplicar e validar a corre\u00e7\u00e3o no pr\u00f3prio ambiente, e n\u00e3o existe uma data \u00fanica para isso.<\/li>\n<li><strong>Depois da atualiza\u00e7\u00e3o, teste o site<\/strong> (p\u00e1ginas, formul\u00e1rios, login, checkout) para garantir que nada quebrou.<\/li>\n<li><strong>Revise os registros de acesso<\/strong> do servidor em busca de requisi\u00e7\u00f5es estranhas, principalmente no per\u00edodo entre 20 e 21 de outubro.<\/li>\n<li><strong>N\u00e3o confie s\u00f3 em firewall ou WAF.<\/strong> Eles ajudam, mas n\u00e3o substituem a atualiza\u00e7\u00e3o do PHP.<\/li>\n<\/ol>\n<h2>E se a hospedagem ainda n\u00e3o atualizou?<\/h2>\n<p>S\u00f3 a atualiza\u00e7\u00e3o resolve de forma completa. Enquanto ela n\u00e3o chega, o PHP.net lista medidas que reduzem a exposi\u00e7\u00e3o a caminhos espec\u00edficos de ataque, <strong>mas n\u00e3o tornam a instala\u00e7\u00e3o segura<\/strong>: limitar o tamanho de requisi\u00e7\u00f5es (<code>post_max_size<\/code>), desativar <code>session.upload_progress.enabled<\/code> e remover configura\u00e7\u00f5es que gerem avisos antes da inicializa\u00e7\u00e3o. Essas mudan\u00e7as devem ser feitas por quem administra o servidor, e o site precisa ser testado depois.<\/p>\n<h2>Como a 2N Digital est\u00e1 tratando<\/h2>\n<p>A 2N est\u00e1 mapeando os ambientes sob sua gest\u00e3o. <strong>S\u00f3 vamos chamar um site de corrigido depois de confirmar a vers\u00e3o do PHP e os testes.<\/strong> Um site que continua abrindo n\u00e3o prova que est\u00e1 protegido.<\/p>\n<p>Se o seu site ou sistema roda em PHP e voc\u00ea n\u00e3o sabe em qual vers\u00e3o, <a href=\"https:\/\/2nweb.com.br\/\">fale com a 2N Digital<\/a>. Verificamos a vers\u00e3o, acompanhamos a confirma\u00e7\u00e3o com a hospedagem e testamos o site depois da atualiza\u00e7\u00e3o.<\/p>\n<h2>Perguntas r\u00e1pidas<\/h2>\n<p><strong>Meu site \u00e9 WordPress. Preciso me preocupar?<\/strong> Sim, se ele roda em um servidor com PHP ainda sem a corre\u00e7\u00e3o. A falha \u00e9 do PHP, n\u00e3o do WordPress.<\/p>\n<p><strong>Atualizar os plugins resolve?<\/strong> N\u00e3o. Plugins s\u00e3o uma camada acima. A corre\u00e7\u00e3o precisa ser feita no PHP, pela hospedagem ou por quem administra o servidor.<\/p>\n<p><strong>Como sei qual PHP meu site usa?<\/strong> Pergunte ao provedor de hospedagem ou a quem cuida do seu site. N\u00e3o adianta olhar s\u00f3 se o site abre.<\/p>\n<h2>Fonte<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-21-5\" rel=\"noopener\" target=\"_blank\">PHP.net: Security advisory: Critical remote code execution vulnerabilities, update now (21\/10\/2026)<\/a><\/li>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php#2026-10-20-1\" rel=\"noopener\" target=\"_blank\">PHP.net: Upcoming Critical PHP Security Release (20\/10\/2026)<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-w8hw-w9fx-j79w\" rel=\"noopener\" target=\"_blank\">Aviso t\u00e9cnico da CVE-2026-109618 (GitHub, php-src)<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/php\/php-src\/security\/advisories\/GHSA-6wmf-4rv5-p3rp\" rel=\"noopener\" target=\"_blank\">Aviso t\u00e9cnico da CVE-2026-109619 (GitHub, php-src)<\/a><\/li>\n<\/ul>\n<p><em>Publicado em 22 de outubro de 2026. Informa\u00e7\u00f5es conforme os avisos oficiais do PHP.net nesta data.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>O PHP.net publicou em 21\/10\/2026 corre\u00e7\u00f5es para duas falhas cr\u00edticas (CVE-2026-109618 e CVE-2026-109619) que podem permitir execu\u00e7\u00e3o de c\u00f3digo no servidor sem login. Atualizar plugins n\u00e3o resolve. Veja o que fazer e o que perguntar \u00e0 sua hospedagem.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[41],"tags":[40,39,30,26,27,28,25,37,23,34,33,32,31,29,38,36,35,24],"class_list":["post-38","post","type-post","status-publish","format-standard","hentry","category-seguranca-digital","tag-2n-digital","tag-alerta-de-seguranca","tag-atualizacao-do-php","tag-cve-2026-109618","tag-cve-2026-109619","tag-execucao-remota-de-codigo","tag-falha-critica-no-php","tag-hospedagem-de-sites","tag-php","tag-php-8-2-35","tag-php-8-3-36","tag-php-8-4-27","tag-php-8-5-12","tag-seguranca-de-sites","tag-seguranca-digital","tag-seguranca-laravel","tag-seguranca-wordpress","tag-vulnerabilidade-php"],"_links":{"self":[{"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/posts\/38","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/comments?post=38"}],"version-history":[{"count":0,"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/posts\/38\/revisions"}],"wp:attachment":[{"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/media?parent=38"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/categories?post=38"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/2nweb.com.br\/blog\/wp-json\/wp\/v2\/tags?post=38"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}