PHP: invasores podem tomar o controlo de sites e sistemas

O invasor pode não precisar de descobrir a palavra-passe do seu site para alterar páginas, aceder a ficheiros ou desviar visitantes. Duas falhas críticas no PHP, tecnologia que faz funcionar sites WordPress e outros sistemas, podem abrir esse caminho. As correções foram lançadas em 21 de outubro de 2026. A prioridade é confirmar que chegaram ao servidor: atualizar apenas o WordPress não basta. Fonte: comunicado oficial do PHP.

O que isto significa

PHP significa PHP: Hypertext Preprocessor, em português, pré-processador de hipertexto. Na prática, é uma linguagem de programação que funciona nos bastidores: recebe pedidos, consulta informações e prepara as páginas que o visitante vê. O WordPress é o sistema usado para criar e publicar o conteúdo dessas páginas. Por isso, atualizar apenas o WordPress não corrige uma falha nesse motor. A atualização precisa de chegar ao PHP que efetivamente serve o site, normalmente sob responsabilidade da empresa de alojamento. O próprio WordPress publicou um alerta.

Um projeto livre, mas que exige manutenção

O PHP é um projeto de software livre e de código aberto. Isso significa que o seu código pode ser consultado, utilizado, modificado e redistribuído, respeitando a licença do projeto. Não é necessário comprar uma licença para usar a linguagem, mas manter um site exige infraestrutura e cuidados. A equipa do PHP disponibiliza as correções; quem gere o servidor precisa de as aplicar.

Como um invasor poderia assumir o controlo

Num exemplo hipotético, um criminoso envia pedidos preparados para explorar a falha. Se o ataque funcionar, poderá executar comandos com as permissões do serviço do site: alterar páginas, aceder a ficheiros ou redirecionar visitantes para uma cobrança falsa. Isto não significa que todos os sites foram invadidos, nem que o atacante ganha automaticamente controlo de todo o servidor. Detalhes no aviso técnico da equipa do PHP.

As APIs também precisam de atenção

O risco não termina nas páginas que vemos. Uma API é uma ligação pela qual programas trocam dados: por exemplo, uma aplicação envia uma encomenda para o sistema de uma loja. Se essa ligação for executada numa instalação vulnerável de PHP, também precisa da correção. Um ataque bem-sucedido pode comprometer dados ou operações acessíveis ao serviço, mesmo sem alterar a página inicial. O alerta oficial abrange instalações de PHP que recebem pedidos pela Web, não apenas WordPress. Isto não significa que todas as APIs estejam vulneráveis a estas falhas.

Não há mitigação completa; atualizar é a única escolha segura.

— Equipa do PHP, em tradução livre

Versões com correção anunciadas pelo PHP em 21 de outubro de 2026

Versão utilizada	Versão corrigida
PHP 8.2	8.2.35
PHP 8.3	8.3.36
PHP 8.4	8.4.27
PHP 8.5	8.5.12

Todos os responsáveis por sites que utilizam PHP devem confirmar a aplicação da correção. Não é obrigatório migrar para a série 8.5: é possível corrigir a série já utilizada. Alguns fornecedores aplicam a correção mantendo a numeração-base anterior; nesse caso, peça confirmação expressa de proteção contra CVE-2026-109618 e CVE-2026-109619. PHP 8.1 e anteriores já não têm suporte regular do projeto. Consulte as orientações oficiais e a fonte da citação.

O que fazer agora

Contacte a empresa de alojamento ou o responsável técnico. Peça uma cópia de segurança, a atualização com verificação de compatibilidade e a confirmação de que o site está a utilizar a versão corrigida. Inclua nesta verificação as APIs e os sistemas de bastidores que utilizam PHP, mesmo que estejam noutros servidores. Depois, confira acessos, formulários, compras e integrações, quando existirem. Um plugin de segurança não substitui esta correção. O guia oficial do WordPress explica os cuidados com a atualização.

Wenderson Wanzeller, engenheiro informático, está à disposição da imprensa para entrevistas e esclarecimentos sobre o risco e as medidas de proteção.

Referência rápida

Termos deste artigo

Tecnologias e expressões desta nota, explicadas em linguagem simples.

PHP: Hypertext Preprocessor

Pré-processador de hipertexto. Linguagem de programação usada nos bastidores de sites para processar pedidos e preparar páginas.

WordPress

Sistema que permite criar e gerir sites e publicar conteúdos. Utiliza PHP para funcionar.

Servidor e alojamento

O servidor é o computador que mantém o site disponível. O alojamento é o serviço que fornece essa estrutura e costuma gerir a versão do PHP.

Plugin

Programa adicional que acrescenta funções ao WordPress, como formulários ou proteção. Não substitui uma atualização do PHP.

CVE: Common Vulnerabilities and Exposures

Vulnerabilidades e exposições comuns. Sistema de identificação de falhas conhecidas; o código permite confirmar com o fornecedor exatamente qual problema foi corrigido.

API: Application Programming Interface

Interface de programação de aplicações. Ligação que permite a programas trocar dados e executar operações entre si, como enviar uma encomenda de uma aplicação para uma loja.