---
title: "PHP: invasores podem tomar o controle de sites e sistemas"
description: "Falhas no PHP ameaçam sites e sistemas, incluindo WordPress. Saiba quais versões corrigem o problema e o que pedir ao responsável técnico."
url: "https://wendersonwanzeller.com/blog/falhas-php-wordpress-atualizacao/"
language: "pt-br"
author: "Wenderson Wanzeller"
license: "https://creativecommons.org/licenses/by/4.0/"
published: "2026-10-21T19:05:04.466336+00:00"
modified: "2026-10-21T19:05:04.466336+00:00"
editoria: "Tecnologia"
---

# PHP: invasores podem tomar o controle de sites e sistemas

**Falhas críticas no PHP podem permitir invasões. A correção já está disponível.**

![PHP: invasores podem tomar o controle de sites e sistemas](https://wendersonwanzeller.com/media/images/wende_PJCwS8O.2e16d0ba.fill-1200x675.format-webp.webpquality-75.webp)
*Wenderson Wanzeller alerta para a atualização do PHP em sites WordPress.*

**O invasor pode não precisar descobrir a senha do seu site para alterar páginas, acessar arquivos ou desviar visitantes.** Duas falhas críticas no PHP, tecnologia que faz funcionar sites WordPress e outros sistemas, podem abrir esse caminho. As correções foram lançadas em 21 de outubro de 2026. A prioridade é confirmar que chegaram ao servidor: atualizar apenas o WordPress não basta. [Fonte: comunicado oficial do PHP.](https://www.php.net/archive/2026.php)

## O que isso significa

PHP significa [PHP: Hypertext Preprocessor](https://www.php.net/manual/en/history.php.php), em português, pré-processador de hipertexto. Na prática, é uma linguagem de programação que funciona nos bastidores: recebe pedidos, consulta informações e prepara as páginas que o visitante vê. O WordPress é o sistema usado para criar e publicar o conteúdo dessas páginas. Por isso, **atualizar apenas o WordPress não corrige uma falha nesse motor**. A atualização precisa chegar ao PHP que realmente atende o site, normalmente sob responsabilidade da empresa de hospedagem. O [próprio WordPress publicou um alerta](https://wordpress.org/news/2026/10/critical-php-security-release/).

## Um projeto livre, mas que exige manutenção

**O PHP é um projeto de software livre e de código aberto.** Isso significa que seu código pode ser consultado, utilizado, modificado e redistribuído, respeitando a [licença do projeto](https://www.php.net/license/). Não é necessário comprar uma licença para usar a linguagem, mas manter um site exige infraestrutura e cuidados. A equipe do PHP disponibiliza as correções; quem administra o servidor precisa aplicá-las.

## Como um invasor poderia assumir o controle

Em um exemplo hipotético, um criminoso envia pedidos preparados para explorar a falha. Se o ataque funcionar, poderá executar comandos com as permissões do serviço do site: alterar páginas, acessar arquivos ou redirecionar visitantes para uma cobrança falsa. Isso não significa que todos os sites foram invadidos, nem que o atacante ganha automaticamente controle de todo o servidor. [Detalhes no aviso técnico da equipe do PHP.](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w)

## As APIs também precisam de atenção

**O risco não termina nas páginas que vemos.** Uma API é uma ligação pela qual programas trocam dados: por exemplo, um aplicativo envia um pedido para o sistema de uma loja. Se essa ligação for executada em uma instalação vulnerável de PHP, também precisa da correção. Um ataque bem-sucedido pode comprometer dados ou operações acessíveis ao serviço, mesmo sem alterar a página inicial. O alerta oficial abrange [instalações de PHP que recebem pedidos pela Web](https://www.php.net/archive/2026.php), não apenas WordPress. Isso não significa que todas as APIs estejam vulneráveis a essas falhas.

> Não há mitigação completa; atualizar é a única escolha segura.
>
> — Equipe do PHP, em tradução livre

| Versão utilizada | Versão corrigida |
| --- | --- |
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |

**Todos os responsáveis por sites que utilizam PHP devem confirmar a aplicação da correção.** Não é obrigatório migrar para a série 8.5: é possível corrigir a série já utilizada. Alguns fornecedores aplicam a correção mantendo a numeração-base anterior; nesse caso, peça confirmação expressa de proteção contra **CVE-2026-109618 e CVE-2026-109619**. PHP 8.1 e anteriores já não têm suporte regular do projeto. [Consulte as orientações oficiais e a fonte da citação.](https://www.php.net/archive/2026.php)

## O que fazer agora

Acione a hospedagem ou o responsável técnico. Peça uma cópia de segurança, a atualização com verificação de compatibilidade e a confirmação de que o site está usando a versão corrigida. Inclua nessa verificação as APIs e os sistemas de bastidores que utilizam PHP, mesmo que estejam em outros servidores. Depois, confira acessos, formulários, compras e integrações, quando existirem. **Um plugin de segurança não substitui essa correção.** O [guia oficial do WordPress](https://wordpress.org/documentation/update-php/) explica os cuidados com a atualização.

**Wenderson Wanzeller, engenheiro informático, está à disposição da imprensa para entrevistas e esclarecimentos sobre o risco e as medidas de proteção.**

## Licença do conteúdo

Este artigo e as imagens autorais associadas podem ser reproduzidos, adaptados e usados, inclusive comercialmente, com crédito a Wenderson Wanzeller e link para esta página.

[Creative Commons Atribuição 4.0 Internacional](https://creativecommons.org/licenses/by/4.0/deed.pt-br) · [Ver condições de uso](https://wendersonwanzeller.com/termos-e-condicoes/#conteudos-e-imagens)

## Autoria
- Wenderson Wanzeller
  - Engenheiro informático, atuário, jornalista, professor e pesquisador
  - https://wendersonwanzeller.com/
  - https://pt.linkedin.com/in/wenderson-wanzeller
  - https://www.youtube.com/@WendersonWanzeller
  - https://github.com/wwenderson
  - https://orcid.org/0000-0002-6831-8707
  - https://www.cienciavitae.pt/portal/pt/F816-10AE-52D2