PHP: invasores podem tomar o controle de sites e sistemas

O invasor pode não precisar descobrir a senha do seu site para alterar páginas, acessar arquivos ou desviar visitantes. Duas falhas críticas no PHP, tecnologia que faz funcionar sites WordPress e outros sistemas, podem abrir esse caminho. As correções foram lançadas em 21 de outubro de 2026. A prioridade é confirmar que chegaram ao servidor: atualizar apenas o WordPress não basta. Fonte: comunicado oficial do PHP.

O que isso significa

PHP significa PHP: Hypertext Preprocessor, em português, pré-processador de hipertexto. Na prática, é uma linguagem de programação que funciona nos bastidores: recebe pedidos, consulta informações e prepara as páginas que o visitante vê. O WordPress é o sistema usado para criar e publicar o conteúdo dessas páginas. Por isso, atualizar apenas o WordPress não corrige uma falha nesse motor. A atualização precisa chegar ao PHP que realmente atende o site, normalmente sob responsabilidade da empresa de hospedagem. O próprio WordPress publicou um alerta.

Um projeto livre, mas que exige manutenção

O PHP é um projeto de software livre e de código aberto. Isso significa que seu código pode ser consultado, utilizado, modificado e redistribuído, respeitando a licença do projeto. Não é necessário comprar uma licença para usar a linguagem, mas manter um site exige infraestrutura e cuidados. A equipe do PHP disponibiliza as correções; quem administra o servidor precisa aplicá-las.

Como um invasor poderia assumir o controle

Em um exemplo hipotético, um criminoso envia pedidos preparados para explorar a falha. Se o ataque funcionar, poderá executar comandos com as permissões do serviço do site: alterar páginas, acessar arquivos ou redirecionar visitantes para uma cobrança falsa. Isso não significa que todos os sites foram invadidos, nem que o atacante ganha automaticamente controle de todo o servidor. Detalhes no aviso técnico da equipe do PHP.

As APIs também precisam de atenção

O risco não termina nas páginas que vemos. Uma API é uma ligação pela qual programas trocam dados: por exemplo, um aplicativo envia um pedido para o sistema de uma loja. Se essa ligação for executada em uma instalação vulnerável de PHP, também precisa da correção. Um ataque bem-sucedido pode comprometer dados ou operações acessíveis ao serviço, mesmo sem alterar a página inicial. O alerta oficial abrange instalações de PHP que recebem pedidos pela Web, não apenas WordPress. Isso não significa que todas as APIs estejam vulneráveis a essas falhas.

Não há mitigação completa; atualizar é a única escolha segura.

— Equipe do PHP, em tradução livre

Versões com correção anunciadas pelo PHP em 21 de outubro de 2026

Versão utilizada	Versão corrigida
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Todos os responsáveis por sites que utilizam PHP devem confirmar a aplicação da correção. Não é obrigatório migrar para a série 8.5: é possível corrigir a série já utilizada. Alguns fornecedores aplicam a correção mantendo a numeração-base anterior; nesse caso, peça confirmação expressa de proteção contra CVE-2026-109618 e CVE-2026-109619. PHP 8.1 e anteriores já não têm suporte regular do projeto. Consulte as orientações oficiais e a fonte da citação.

O que fazer agora

Acione a hospedagem ou o responsável técnico. Peça uma cópia de segurança, a atualização com verificação de compatibilidade e a confirmação de que o site está usando a versão corrigida. Inclua nessa verificação as APIs e os sistemas de bastidores que utilizam PHP, mesmo que estejam em outros servidores. Depois, confira acessos, formulários, compras e integrações, quando existirem. Um plugin de segurança não substitui essa correção. O guia oficial do WordPress explica os cuidados com a atualização.

Wenderson Wanzeller, engenheiro informático, está à disposição da imprensa para entrevistas e esclarecimentos sobre o risco e as medidas de proteção.

Referência rápida

Termos deste artigo

Tecnologias e expressões desta nota, explicadas em linguagem simples.

PHP: Hypertext Preprocessor

Pré-processador de hipertexto. Linguagem de programação usada nos bastidores de sites para processar pedidos e preparar páginas.

WordPress

Sistema que permite criar e administrar sites e publicar conteúdos. Utiliza PHP para funcionar.

Servidor e hospedagem

O servidor é o computador que mantém o site disponível. A hospedagem é o serviço que fornece essa estrutura e costuma administrar a versão do PHP.

Plugin

Programa adicional que acrescenta funções ao WordPress, como formulários ou proteção. Não substitui uma atualização do PHP.

CVE: Common Vulnerabilities and Exposures

Vulnerabilidades e exposições comuns. Sistema de identificação de falhas conhecidas; o código permite confirmar com o fornecedor exatamente qual problema foi corrigido.

API: Application Programming Interface

Interface de programação de aplicações. Ligação que permite a programas trocar dados e executar operações entre si, como enviar um pedido de um aplicativo para uma loja.