Imagine descobrir que o site da sua empresa, mesmo funcionando normalmente e sem apresentar qualquer sinal de problema, pode estar exposto a uma vulnerabilidade capaz de permitir que invasores assumam o controle do servidor.
Agora imagine que essa falha não esteja necessariamente no seu site, mas na própria tecnologia utilizada para executá-lo.
Foi exatamente esse cenário que colocou a comunidade de tecnologia em alerta em outubro de 2026.
No dia 21 de outubro de 2026, foram divulgadas duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas na internet.
Identificadas como CVE-2026-109618 e CVE-2026-109619, as falhas receberam pontuação de gravidade 9,2 em uma escala de 0 a 10 e ficaram conhecidas pelo nome PHP2Shell.
O problema chamou atenção porque, em determinadas condições, as vulnerabilidades podem permitir a execução remota de códigos maliciosos em servidores vulneráveis, sem exigir que o invasor possua uma conta de acesso.
Mas a repercussão não ficou restrita à gravidade das falhas.
A discussão também envolveu o tempo necessário para corrigi-las, a presença do PHP em grande parte da internet e o papel da inteligência artificial na descoberta e exploração de vulnerabilidades.
Para empresários, a situação levanta uma questão importante: se o site da sua empresa utiliza PHP, ele está realmente protegido?
Neste artigo, você vai entender o que aconteceu, por que o assunto gerou tanta discussão, quais sistemas podem ser afetados e quais medidas devem ser adotadas para reduzir os riscos.
Artigo atualizado em 23 de outubro de 2026, com base em comunicados oficiais do projeto PHP e alertas de segurança.
O que é PHP e por que essa falha preocupa tantas empresas?
O PHP é uma linguagem de programação amplamente utilizada no desenvolvimento de sites, aplicações e sistemas web.
Ele é responsável por processar informações no servidor, executar funcionalidades e gerar conteúdos que posteriormente são apresentados aos visitantes.
Quando um usuário acessa determinados sites, o PHP pode participar de diferentes operações nos bastidores, como consultar um banco de dados, processar um formulário ou autenticar uma conta.
A tecnologia está presente em plataformas conhecidas, incluindo WordPress, Drupal, Joomla e diversas aplicações empresariais desenvolvidas sob medida.
Isso significa que a segurança do PHP possui importância para empresas de diferentes segmentos.
Quase 70% dos sites utilizam PHP?
De acordo com dados da W3Techs de 23 de outubro de 2026, o PHP era utilizado em aproximadamente 69,3% dos sites cuja linguagem de programação do lado do servidor era conhecida.
É importante entender essa distinção.
O percentual não significa que exatamente 69,3% de todos os sites existentes estejam vulneráveis.
Ele representa a presença do PHP entre os sites analisados em que foi possível identificar a tecnologia utilizada.
Ainda assim, demonstra a relevância da linguagem para o funcionamento da internet.
Quando uma falha afeta o núcleo de uma tecnologia tão difundida, o impacto potencial envolve um número expressivo de aplicações e servidores.
Essa é uma das razões pelas quais o PHP2Shell recebeu tanta atenção.
Fonte: W3Techs — Estatísticas de utilização do PHP.
O que aconteceu com o PHP em outubro de 2026?
No dia 21 de outubro de 2026, o projeto PHP publicou atualizações emergenciais para corrigir duas vulnerabilidades críticas.
As falhas receberam os identificadores CVE-2026-109618 e CVE-2026-109619.
CVE é um sistema utilizado para identificar publicamente vulnerabilidades de segurança.
Já o nome PHP2Shell passou a ser utilizado para representar o conjunto de problemas e suas possibilidades de exploração.
As falhas estão relacionadas ao gerenciamento de memória e ao tratamento de estados internos durante o processamento de requisições.
Em termos simples, determinados erros podem fazer com que o PHP interprete ou utilize informações de memória de maneira inadequada.
Dependendo das condições, esse comportamento pode ser explorado para comprometer o processo que executa a aplicação.
CVE-2026-109618: falha relacionada ao gerenciamento de memória
A primeira vulnerabilidade envolve situações em que o PHP encontra condições de falta de memória durante o processamento de uma solicitação.
Quando isso acontece em determinado momento, estruturas internas podem permanecer parcialmente inicializadas.
Durante os procedimentos de limpeza, o sistema pode tratar essas estruturas incorretamente.
Essa situação pode provocar corrupção de memória e abrir caminho para exploração.
CVE-2026-109619: reutilização de informações internas
A segunda vulnerabilidade está relacionada à permanência de referências a regiões de memória que já foram liberadas.
Quando uma nova solicitação utiliza o mesmo processo, determinados estados internos podem ser reutilizados incorretamente.
Esse comportamento pode permitir corrupção de memória e, em determinadas condições, execução de código não autorizado.
Embora a explicação técnica seja complexa, a consequência para empresas é mais fácil de compreender.
Um servidor vulnerável pode estar exposto mesmo quando o site ou sistema hospedado nele não apresenta falhas aparentes.
Por que o PHP2Shell foi considerado tão perigoso?
A principal preocupação envolve a possibilidade de execução remota de código sem autenticação.
Esse tipo de vulnerabilidade é conhecido pela sigla RCE, do inglês Remote Code Execution.
Em determinados cenários, um invasor pode enviar solicitações especialmente construídas para explorar a falha e executar instruções no servidor.
Se uma exploração for bem-sucedida, o impacto pode variar conforme as permissões e a configuração do ambiente.
Entre as consequências possíveis estão acesso indevido a informações, alteração de arquivos, comprometimento de aplicações e utilização do servidor para outras atividades maliciosas.
Isso não significa que todo servidor vulnerável será comprometido automaticamente.
A exploração depende de condições técnicas, configurações e características do ambiente.
Entretanto, a possibilidade demonstrada de ataque sem autenticação torna a situação especialmente importante.
A falha pode acontecer antes do código do site ser executado
Um dos aspectos que mais chamou atenção foi a demonstração de exploração em ambientes que utilizam Apache com mod_php.
Nesse cenário, pesquisadores demonstraram que uma solicitação não autenticada pode provocar a exploração antes mesmo de o código da aplicação começar a ser executado.
Isso é relevante porque determinadas proteções implementadas diretamente no site podem não impedir um problema localizado no mecanismo responsável por executar a linguagem.
O alerta oficial também inclui outras formas de utilização do PHP, como PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.
A gravidade e os caminhos de exploração podem variar entre os ambientes, mas todos exigem avaliação quando utilizam versões afetadas.
A polêmica: por que uma falha tão grave demorou para ser corrigida?
Esse foi um dos pontos mais discutidos após a divulgação.
Em comunicado publicado em 21 de outubro, a PHP Foundation reconheceu que os primeiros sinais do problema relacionado ao tratamento de memória já haviam sido identificados em 2024.
Naquele momento, porém, ainda não havia sido demonstrado um caminho concreto de exploração com o impacto posteriormente confirmado.
A equipe de segurança enfrentava dificuldades para encontrar uma solução que corrigisse o problema sem causar consequências importantes para a compatibilidade e o funcionamento do ecossistema.
Segundo a própria fundação, o processo de decisão e a disponibilidade limitada de especialistas contribuíram para atrasos.
A organização reconheceu publicamente essas dificuldades e informou mudanças em seus processos de segurança.
Isso significa que a equipe sabia de um ataque e ignorou o problema?
Não é correto tirar essa conclusão.
Existe uma diferença entre identificar um comportamento potencialmente perigoso e demonstrar uma exploração concreta que permite comprometer um servidor.
A PHP Foundation relatou que os primeiros indícios foram encontrados antes da confirmação completa do impacto.
Ao mesmo tempo, o reconhecimento dos atrasos trouxe uma discussão legítima sobre a necessidade de fortalecer a manutenção e a segurança de tecnologias utilizadas por milhões de pessoas.
O episódio mostra como projetos amplamente adotados podem enfrentar desafios para corrigir problemas complexos sem prejudicar sistemas que dependem deles.
Fonte: PHP Foundation — Como a segurança do PHP está sendo fortalecida.
A inteligência artificial teve participação na descoberta das falhas?
Sim.
Outro aspecto de grande repercussão foi o papel da inteligência artificial na pesquisa de segurança.
Empresas e pesquisadores utilizaram ferramentas avançadas para investigar o comportamento do PHP, identificar caminhos de exploração e colaborar na validação das correções.
Entre as organizações envolvidas na pesquisa e na divulgação coordenada estão Wiz, OpenAI e Calif, além da equipe responsável pelo PHP.
A inteligência artificial ajudou a acelerar análises complexas que exigiam compreender o gerenciamento de memória e o comportamento interno da linguagem.
A IA está tornando os ataques mais perigosos?
A discussão é importante porque as mesmas capacidades que ajudam pesquisadores a encontrar vulnerabilidades também podem reduzir barreiras técnicas para agentes mal-intencionados.
Problemas que antes exigiam longos períodos de investigação podem se tornar mais acessíveis com ferramentas capazes de analisar código e auxiliar em testes.
Por outro lado, a inteligência artificial também pode fortalecer a defesa, permitindo identificar falhas antes que sejam exploradas.
O caso PHP2Shell representa justamente essa transformação no cenário de cibersegurança.
A evolução da inteligência artificial exige que a proteção dos sistemas acompanhe a velocidade das novas descobertas.
Para as empresas, isso reforça a importância de manter softwares atualizados e estabelecer processos de resposta a alertas de segurança.
Sites WordPress estão vulneráveis ao PHP2Shell?
Sites WordPress podem ser afetados quando executados sobre versões vulneráveis do PHP.
Essa distinção é fundamental.
O problema não significa necessariamente que o código do WordPress possua as duas falhas.
As vulnerabilidades estão no ambiente PHP utilizado pelo servidor.
Por isso, atualizar o WordPress, seus plugins ou temas não corrige automaticamente uma vulnerabilidade existente na versão do PHP instalada na hospedagem.
E lojas virtuais e sistemas empresariais?
O mesmo princípio se aplica a outras plataformas.
Uma loja virtual, um sistema de gestão ou uma aplicação personalizada pode utilizar PHP em seus componentes internos.
Se o ambiente utiliza uma versão afetada, precisa ser avaliado.
Isso inclui aplicações acessadas publicamente e sistemas internos cuja exposição e configuração possam permitir caminhos de exploração.
Mesmo empresas que não desenvolveram seus próprios sistemas precisam compreender quais tecnologias são utilizadas por seus fornecedores.
A segurança não depende apenas das funcionalidades visíveis ao usuário.
Ela também envolve os componentes que mantêm a aplicação funcionando.
Quais versões do PHP foram afetadas?
O alerta de outubro de 2026 atingiu diversas versões da linguagem, incluindo linhas antigas que já não recebem manutenção regular do projeto.
Em 21 de outubro, o PHP publicou as seguintes versões corrigidas:
| Linha do PHP | Versão corrigida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Essas versões, ou atualizações posteriores da mesma linha, corrigem as duas vulnerabilidades críticas divulgadas em 21 de outubro.
Ambientes com PHP 8.1 ou anterior exigem atenção especial, porque essas versões não recebem mais correções regulares diretamente do projeto PHP.
Entretanto, determinados fornecedores de sistemas operacionais, painéis de hospedagem e serviços de suporte estendido podem disponibilizar correções específicas para versões antigas.
Por isso, a segurança não deve ser avaliada apenas pelo número apresentado em uma tela.
É importante verificar se o fornecedor realmente aplicou os patches necessários.
Atenção às atualizações de 23 de outubro
Em 23 de outubro de 2026, o projeto PHP também publicou um aviso informativo adicional relacionado a uma combinação incomum de configurações de sessão e upload.
O projeto recomendou desabilitar temporariamente a funcionalidade session.upload_progress.enabled em ambientes aplicáveis, enquanto prepara uma correção para a CVE-2026-115560.
Essa é uma situação mais específica e não deve ser confundida com a exposição geral das duas vulnerabilidades críticas divulgadas anteriormente.
A recomendação reforça a importância de acompanhar novos comunicados mesmo depois de instalar as correções iniciais.
Fonte: PHP.net — Comunicados oficiais de segurança.
As falhas já estão sendo exploradas por criminosos?
Após a divulgação pública, empresas de segurança registraram um aumento nas atividades de varredura e em tentativas de exploração relacionadas ao PHP2Shell.
Em 22 de outubro, a Imperva divulgou observações de crescimento da atividade automatizada direcionada a ambientes protegidos por suas soluções.
Isso mostra que o risco deixou de ser apenas uma discussão acadêmica.
Entretanto, é importante diferenciar tentativas de ataque de invasões efetivamente bem-sucedidas.
A identificação de tráfego suspeito não significa, por si só, que todos os servidores que receberam essas solicitações tenham sido comprometidos.
Também não existe fundamento para afirmar que todos os sites PHP foram invadidos.
A orientação para as empresas deve ser agir rapidamente, verificar a exposição e aplicar as correções, sem transformar o alerta em pânico.
Fonte: Imperva — PHP2Shell e as primeiras atividades de ataque.
Como saber se o site da sua empresa utiliza PHP?
Muitos empresários não sabem qual linguagem de programação é utilizada pelo próprio site.
Isso é compreensível, já que a tecnologia funciona nos bastidores.
O primeiro passo é consultar o responsável pelo desenvolvimento ou pela hospedagem.
Também é possível verificar as informações no painel administrativo da hospedagem, quando esse recurso estiver disponível.
Em sites WordPress, a área de saúde do site pode fornecer informações sobre a versão do PHP utilizada pelo ambiente.
Entretanto, visualizar uma versão não é suficiente para confirmar que todas as correções de segurança estão presentes.
O fornecedor precisa verificar o ambiente efetivamente utilizado pela aplicação.
Quem utiliza hospedagem compartilhada precisa se preocupar?
Sim, mas a responsabilidade técnica pela atualização pode estar com o provedor.
Nesse cenário, o empresário deve solicitar informações sobre as correções aplicadas.
É importante confirmar se a versão utilizada já possui os patches necessários e se existe alguma ação pendente.
E quem possui servidor próprio?
Empresas que administram seus próprios servidores precisam avaliar diretamente os pacotes instalados, o ambiente de execução, os serviços ativos e as atualizações disponíveis.
Também é necessário verificar aplicações em contêineres, imagens de sistemas e componentes que possam incluir versões independentes do PHP.
Um único servidor pode executar diferentes versões da linguagem.
Por isso, o diagnóstico precisa considerar toda a infraestrutura relevante.
O que sua empresa deve fazer para se proteger das falhas no PHP?
Diante de um alerta crítico, o caminho mais adequado é combinar atualização, verificação e acompanhamento.
1. Identifique os sistemas que utilizam PHP
Faça um levantamento dos sites, aplicações e serviços que dependem dessa tecnologia.
Inclua ambientes de produção, sistemas internos, portais de clientes e aplicações mantidas por fornecedores.
2. Confirme a versão e as correções instaladas
Verifique se os ambientes possuem uma das versões corrigidas ou patches equivalentes fornecidos pelo fabricante ou mantenedor da distribuição.
Em ambientes antigos, consulte o suporte responsável antes de considerar uma instalação segura.
3. Planeje e aplique as atualizações
As correções devem receber prioridade, principalmente nos serviços expostos à internet.
Entretanto, atualizações precisam considerar compatibilidade com aplicações e dependências.
Sempre que possível, realize backup, valide o processo de recuperação e teste as mudanças em ambiente apropriado.
4. Reinicie os serviços necessários
Dependendo do ambiente, instalar um pacote não significa que todos os processos antigos deixaram de executar o código vulnerável.
Pode ser necessário reiniciar PHP-FPM, Apache, contêineres ou outros componentes utilizados pela aplicação.
O procedimento deve seguir as orientações do fornecedor e ser realizado de maneira controlada.
5. Revise os registros de segurança
Após identificar a exposição, a equipe responsável deve avaliar registros relevantes em busca de comportamentos suspeitos.
Isso pode incluir solicitações incomuns, falhas de processos e alterações inesperadas.
A ausência de sinais evidentes não garante que nenhum incidente ocorreu, mas a análise ajuda a orientar investigações.
6. Verifique backups e mecanismos de recuperação
Antes e depois de uma atualização importante, é recomendável confirmar a disponibilidade dos procedimentos de recuperação.
Backups atualizados e testados ajudam a reduzir os impactos de falhas operacionais durante mudanças ou incidentes.
7. Acompanhe os novos comunicados
A segurança exige acompanhamento contínuo.
Como o caso PHP2Shell demonstrou, orientações adicionais podem ser publicadas após as primeiras correções.
Por isso, fornecedores, desenvolvedores e responsáveis pela infraestrutura precisam acompanhar os boletins oficiais.
Um firewall ou WAF consegue bloquear o PHP2Shell?
Um firewall de aplicação web, conhecido como WAF, pode oferecer uma camada adicional de proteção.
Esse tipo de solução analisa solicitações direcionadas a aplicações e pode bloquear determinados padrões associados a ataques.
Após a divulgação das vulnerabilidades, fornecedores como a Cloudflare disponibilizaram proteções específicas para reduzir a exposição aos métodos conhecidos.
Entretanto, essas medidas não substituem a atualização do PHP.
Novas técnicas ou variações podem não ser completamente bloqueadas pelas regras existentes.
Por isso, o WAF deve ser entendido como uma camada complementar de segurança.
A prioridade continua sendo corrigir a vulnerabilidade no ambiente afetado.
E se a empresa não conseguir atualizar imediatamente?
Em determinadas situações, sistemas antigos podem exigir avaliação de compatibilidade antes de uma atualização.
Nesse caso, a empresa deve consultar as orientações oficiais e considerar medidas temporárias de redução de exposição.
Essas medidas podem envolver restrição de acesso, isolamento de aplicações e ajustes específicos de configuração.
Alguns ajustes podem modificar o comportamento do sistema e apresentar efeitos operacionais importantes.
Por isso, não é recomendável alterar parâmetros críticos indiscriminadamente.
Medidas temporárias de mitigação não devem ser apresentadas como substitutas definitivas das correções de segurança.
PHP ficou inseguro? É hora de abandonar a linguagem?
Essa é uma das perguntas que mais aparecem quando vulnerabilidades críticas ganham repercussão.
A resposta exige equilíbrio.
Uma linguagem de programação não se torna automaticamente inadequada apenas porque foram descobertas falhas graves.
Tecnologias amplamente utilizadas precisam passar continuamente por auditorias, correções e melhorias.
O PHP continua sendo uma tecnologia importante para sites, sistemas empresariais e aplicações web.
A descoberta dessas vulnerabilidades demonstra a necessidade de fortalecer a segurança e a manutenção dos ambientes.
Mas também evidencia a importância da transparência na divulgação de problemas e na disponibilização de correções.
Trocar de linguagem resolve todos os riscos?
Não.
Migrar um sistema para outra tecnologia envolve custos, desenvolvimento, testes, integração e manutenção.
Além disso, diferentes linguagens, bibliotecas e plataformas também podem apresentar vulnerabilidades.
A decisão de migrar não deve ser tomada exclusivamente pela repercussão de um incidente.
É necessário avaliar a arquitetura, a qualidade da aplicação, a situação do suporte, a infraestrutura e as necessidades do negócio.
Em muitos casos, atualizar adequadamente a plataforma e fortalecer a segurança do ambiente é mais apropriado do que iniciar uma substituição completa.
O que o caso PHP2Shell ensina sobre a segurança dos sites empresariais?
O principal aprendizado é que a segurança de um site não depende apenas de seu conteúdo, aparência ou funcionalidades.
Um site pode estar visualmente perfeito e, ainda assim, apresentar riscos em componentes internos.
Isso acontece porque uma aplicação web depende de diferentes camadas tecnológicas.
Entre elas estão o servidor, o sistema operacional, a linguagem de programação, as bibliotecas, o banco de dados e os componentes da aplicação.
Uma vulnerabilidade em qualquer uma dessas camadas pode comprometer a segurança do conjunto.
A segurança precisa considerar toda a infraestrutura
Empresas que utilizam WordPress ou sistemas personalizados devem estabelecer rotinas de atualização e revisão.
Isso inclui o acompanhamento dos avisos publicados pelos fornecedores, o controle de versões e a manutenção de backups.
Também é importante saber quem é responsável por cada componente.
O provedor cuida do sistema operacional? Quem atualiza o PHP? Quem mantém os plugins? Quem verifica os registros de segurança?
Quando essas responsabilidades não estão definidas, alertas importantes podem ficar sem tratamento.
O problema de depender apenas do funcionamento aparente
Muitos empresários acreditam que um site está seguro porque abre normalmente.
Entretanto, vulnerabilidades podem existir sem provocar qualquer mudança visível.
A ausência de erros não confirma a ausência de riscos.
Por isso, a segurança precisa ser avaliada por meio de processos técnicos e não apenas pela experiência do visitante.
Um site no ar não é necessariamente um site protegido.
Como a Micros Curitiba pode ajudar empresas diante de falhas críticas?
A segurança digital envolve mais do que a instalação de um antivírus ou a atualização de um programa.
Ela exige atenção à infraestrutura utilizada pelos sistemas e serviços da empresa.
A Micros Curitiba atua com suporte de TI empresarial, servidores, redes, firewall, backup, segurança da informação e administração de ambientes tecnológicos.
Essas atividades podem apoiar empresas na avaliação de servidores, na identificação de componentes desatualizados e no planejamento de melhorias de segurança.
Também é importante que os responsáveis pelo desenvolvimento e pela hospedagem dos sites participem das verificações necessárias.
No caso de vulnerabilidades como o PHP2Shell, a prioridade é identificar a versão instalada, verificar a existência de correções e compreender quais sistemas podem estar expostos.
Cada ambiente possui características próprias e precisa de uma avaliação adequada.
Para empresas de Curitiba e região, contar com suporte especializado pode facilitar a organização dessas responsabilidades e reduzir a dependência de soluções improvisadas.
Conclusão: a polêmica do PHP é um alerta para todas as empresas
As vulnerabilidades divulgadas em outubro de 2026 colocaram o PHP no centro de uma importante discussão sobre cibersegurança.
As falhas demonstraram como problemas localizados em componentes fundamentais podem afetar diferentes aplicações e serviços.
A repercussão também trouxe questionamentos sobre o tempo necessário para corrigir vulnerabilidades complexas e destacou o papel crescente da inteligência artificial na pesquisa de segurança.
Entretanto, para o empresário, a principal preocupação não deve ser decidir se uma linguagem de programação é boa ou ruim.
A questão central é compreender se a infraestrutura da empresa está sendo acompanhada e atualizada adequadamente.
Um site pode utilizar tecnologias consolidadas e continuar seguro quando existe manutenção responsável, correções disponíveis e processos adequados de proteção.
Por outro lado, uma aplicação abandonada, sem atualizações e sem acompanhamento, tende a acumular riscos independentemente da linguagem utilizada.
O caso PHP2Shell reforça uma lição importante:
A segurança de um site não começa quando ele é invadido. Ela começa muito antes, com prevenção, atualização e responsabilidade técnica.
O site da sua empresa está realmente protegido?
As falhas recentes no PHP mostram que vulnerabilidades críticas podem existir mesmo quando sites e sistemas continuam funcionando normalmente.
Se sua empresa não sabe qual versão do PHP utiliza, não possui acompanhamento de segurança ou depende de uma hospedagem sem informações claras sobre atualizações, vale revisar seu ambiente.
A Micros Curitiba oferece suporte e soluções de infraestrutura de TI para empresas que desejam melhorar a segurança e a confiabilidade de seus ambientes tecnológicos.
Fale com nossa equipe e solicite uma avaliação das necessidades de TI da sua empresa.
WhatsApp: (41) 99138-6747
Falar com a Micros Curitiba pelo WhatsApp
Perguntas frequentes sobre as falhas do PHP em 2026
O que é PHP2Shell?
PHP2Shell é o nome utilizado para identificar um conjunto de vulnerabilidades críticas no PHP divulgadas em 21 de outubro de 2026. As falhas podem permitir execução remota de código em determinadas condições.
Quais são as vulnerabilidades identificadas?
As duas principais falhas divulgadas são CVE-2026-109618 e CVE-2026-109619, ambas com gravidade 9,2 no CVSS v4.0.
O WordPress foi afetado?
Ambientes WordPress executados sobre versões vulneráveis do PHP podem estar expostos. O problema está no mecanismo PHP, e não necessariamente em uma falha específica do WordPress.
Atualizar o WordPress resolve o problema?
Não necessariamente. É preciso verificar e corrigir também a versão do PHP utilizada pelo servidor.
Quais versões do PHP possuem correções?
As versões PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 corrigem as duas vulnerabilidades críticas divulgadas em 21 de outubro, assim como atualizações posteriores compatíveis. Alguns fornecedores também oferecem correções próprias.
Todos os sites que utilizam PHP foram invadidos?
Não. A existência de uma vulnerabilidade não significa que todos os ambientes afetados tenham sido comprometidos. O risco precisa ser avaliado conforme a versão, a configuração e a exposição do servidor.
O PHP deixou de ser uma tecnologia segura?
Não é correto concluir isso. O episódio demonstra a importância das atualizações e dos processos de segurança. A proteção depende de diversos fatores, incluindo manutenção, configuração e acompanhamento da infraestrutura.
O que devo fazer se minha empresa utiliza PHP antigo?
Solicite uma avaliação técnica para verificar a exposição, a disponibilidade de correções do fornecedor e a viabilidade de migração para uma versão suportada.
Fontes oficiais e referências
- PHP.net — Comunicado oficial de segurança de outubro de 2026
- PHP Foundation — Explicação sobre as falhas e melhorias nos processos de segurança
- CERT Coordination Center — Vulnerabilidades de corrupção de memória no PHP
- Google Cloud — Orientações para resposta às vulnerabilidades
- Wiz Research — Pesquisa técnica sobre o PHP2Shell
