Falhas críticas no PHP: o que checar no seu site WordPress
Duas falhas críticas no PHP, apelidadas de PHP2Shell, permitem execução remota de código sem senha e atingem a base de sites como o WordPress. Veja o que um pequeno empresário deve verificar com a hospedagem e no próprio site.
Se o site da sua empresa roda em WordPress, ele depende de PHP, e o PHP acaba de ganhar duas falhas críticas. Segundo o Olhar Digital, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell, permitem que um invasor execute comandos num servidor pela internet, sem login nem senha. Para quem não tem equipe de TI, o assunto parece distante, mas a conta chega ao site, à loja virtual e aos dados de clientes.
O que aconteceu
A reportagem conta que a gravidade levou empresas, governos e organizações a tirar sistemas do ar enquanto aplicavam correções. Bancos, lojas, hospitais e órgãos públicos estiveram entre os setores afetados por essas medidas. A Fundação PHP liberou os patches e avisou antes grandes empresas e provedores de hospedagem, o que ajudou parte da infraestrutura a se proteger com antecedência.
Mesmo assim, o risco não acabou. A Amazon disse ter visto tentativas de exploração cerca de uma semana antes de as correções existirem, e a origem desse acesso antecipado não foi esclarecida. O diretor-executivo da Cloudflare, Matthew Prince, afirmou ter observado crescimento exponencial nas tentativas depois da divulgação. Segundo a fonte, as falhas foram achadas por pesquisadores da Calif, com apoio de inteligência artificial, numa auditoria do código do PHP.
Por que isso pesa para quem tem site pequeno
O ponto central é que o ataque não depende de senha roubada nem de alguém clicar em algo. Basta o servidor estar sem a correção. A fonte lembra que equipes pequenas e quem usa componentes antigos costumam demorar mais para identificar o que está afetado, testar e instalar as atualizações. É exatamente o perfil de muitos sites institucionais e lojas de pequenas empresas, que ficam meses sem manutenção.
Há ainda um detalhe que costuma passar batido: o PHP também aparece em outros equipamentos, como dispositivos de armazenamento, roteadores e aparelhos corporativos de segurança. Corrigir o site, portanto, pode não resolver tudo.
A reportagem não detalha quais versões do PHP trazem a correção, então não vale chutar um número. O caminho seguro é confirmar isso com fontes oficiais e com quem hospeda o seu site.
Primeiro, descubra qual versão do PHP o site usa. O painel da hospedagem costuma mostrar isso; se não mostrar, pergunte ao suporte e peça confirmação de que as correções do PHP2Shell foram aplicadas.
Segundo, atualize o WordPress, os temas e os plugins. Eles não são a origem das falhas, mas deixar o ambiente desatualizado só aumenta a superfície de ataque.
Terceiro, confira os backups. Garanta que existe uma cópia recente, guardada fora do servidor do site, e que alguém já testou restaurá-la. Se o pior acontecer, é isso que reduz o tempo de site fora do ar.
Quarto, observe sinais estranhos, como arquivos que você não reconhece, lentidão repentina ou usuários administradores novos, e acione a hospedagem ao notar algo. Liste também roteadores e outros equipamentos que a empresa usa e consulte os fabricantes sobre atualizações.
Fechamento
O episódio mostra que a correção pode existir e ainda assim não chegar a tempo a quem não acompanha. Dedicar uma hora a checar versão, atualizações e backups é barato perto do custo de um site invadido.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.