Meu site é afetado pelo PHP2Shell? Como verificar a versão do PHP

WindowsMacAtualizado

A equipe de segurança do PHP lançou em 21 de outubro de 2026 correções para duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, que a agência americana CISA diz serem conhecidas como "php2shell". As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para saber a situação do seu site, você precisa de um número: a versão do PHP em que a hospedagem o executa.

Resposta rápida

Veja a versão do PHP do seu site no WordPress em Ferramentas > Diagnóstico > Informação > Servidor, no painel da hospedagem ou perguntando à hospedagem. Segundo o comunicado do PHP, as versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se a sua for anterior à correção da linha dela, peça à hospedagem para atualizar.

Quais versões do PHP são afetadas e quais estão corrigidas?

O comunicado do PHP de 21 de outubro de 2026 diz que as falhas afetam todas as instalações de PHP que atendem requisições web e podem permitir a execução remota de código sem autenticação. Na prática, alguém poderia rodar comandos próprios no servidor sem fazer login. O alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, considera afetadas as instalações anteriores às versões corrigidas de cada linha.

O projeto PHP lista uma versão corrigida por linha com suporte:

Sua versão começa comCorrigida em
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35

As notas de lançamento dessas versões dizem que não existem medidas paliativas completas e que atualizar é a única escolha segura.

Sobre exploração, em 23 de outubro de 2026: o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. O comunicado do PHP diz que existe um ataque demonstrado contra uma configuração comum, o Apache com mod_php, que ele considera de maior risco.

Como verificar a versão do PHP no WordPress?

O WordPress mostra a versão na tela Diagnóstico. A página "Atualize seu PHP hoje" do WordPress em português indica este caminho.

  1. Entre no painel do WordPress.
  2. Vá em Ferramentas > Diagnóstico.
  3. Clique na aba Informação.
  4. Abra a seção Servidor.
  5. Desça até Versão do PHP.

A documentação do WordPress descreve a aba Informação como apenas informativa: nada é alterado por ali. A página "Atualize seu PHP hoje" diz ainda que, com uma versão desatualizada, pode aparecer um aviso no Painel ou no Diagnóstico. No WordPress em português, esse aviso se chama "Atualização do PHP necessária" ou "Atualização do PHP recomendada".

Como verificar a versão do PHP no cPanel?

Se a sua hospedagem usa cPanel, a ferramenta MultiPHP Manager lista os seus domínios e a versão do PHP de cada um. A documentação do cPanel, em inglês, coloca a ferramenta na seção Software.

  1. Entre no cPanel.
  2. Abra o MultiPHP Manager.
  3. Encontre o seu domínio na lista e leia a versão do PHP.

Se o domínio aparecer com a indicação Inherited (herdado), o cPanel diz que ele usa o padrão do sistema, que só o administrador do servidor define. Nesse caso a versão na tela é escolha da hospedagem, e a atualização também. Se você não encontrar o MultiPHP Manager, a hospedagem pode tê-lo desativado, o que o cPanel diz ser possível.

Outros painéis de hospedagem têm telas próprias para isso, com nomes diferentes. A ajuda da sua hospedagem é o lugar para procurar.

E se eu não encontrar a versão do PHP?

Pergunte à hospedagem. A página "Atualize seu PHP hoje" do WordPress sugere escrever para a hospedagem quando você não acha a configuração, e oferece um modelo de mensagem. Para este caso, faça duas perguntas simples:

  1. Em qual versão do PHP o meu site está rodando agora?
  2. Ela já foi atualizada para a versão corrigida do comunicado de segurança do PHP de 21 de outubro de 2026 (8.5.12, 8.4.27, 8.3.36 ou 8.2.35)?

Se você tem mais de um site ou domínio na conta, pergunte sobre cada um. A documentação do cPanel mostra que cada domínio pode usar uma versão diferente.

Minha versão não está corrigida. O que eu faço?

Atualize o PHP, ou peça à hospedagem que atualize. O comunicado do PHP lista algumas configurações temporárias que reduzem a exposição, mas diz que elas não tornam uma instalação segura. O CTIR Gov também diz que medidas temporárias, como restringir o acesso pela internet, não substituem a aplicação das correções. A CISA orienta tirar do ar um sistema que não pode ser atualizado de imediato.

Como atualizar depende de quem administra o servidor:

  1. Em hospedagem compartilhada ou gerenciada, o PHP é da hospedagem. Peça que ela mova o seu site para a versão corrigida, ou para uma linha com suporte que tenha correção.
  2. Se o seu painel deixa escolher a versão, talvez você mesmo consiga trocar. Nosso guia como atualizar o PHP no WordPress mostra o passo a passo, começando pelo backup.

Se o site não pôde ser atualizado logo, o NCSC britânico recomenda procurar sinais de invasão antes de atualizar. Nosso guia site hackeado: o que fazer trata disso do lado de quem tem o site.

E se o meu site roda PHP 8.1 ou anterior?

O projeto PHP diz que o PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto. Ele acrescenta que algumas distribuições e fornecedores de suporte de longo prazo oferecem correções adaptadas, e orienta falar com o seu fornecedor ou migrar para uma versão com suporte. A equipe de segurança do PHP também publicou correções mínimas para 7.4, 8.0 e 8.1, voltadas a quem compila o PHP.

Para um site pessoal, isso significa perguntar à hospedagem se ela aplicou uma dessas correções à sua versão. Se não aplicou, a resposta do projeto PHP é migrar. O alerta da CISA orienta tirar do ar os sistemas com PHP 8.1 ou anterior que não possam ser atualizados de imediato.

A página de versões com suporte do PHP mostra ainda que o PHP 8.2 só recebe correções de segurança até 31 de dezembro de 2026. Um site no 8.2.35 está corrigido por enquanto, mas vai precisar de uma linha mais nova em breve. A página "Atualize seu PHP hoje" do WordPress recomenda o PHP 8.3 ou superior.

Um verificador online de vulnerabilidade do PHP me diz se estou seguro?

Nenhuma das páginas oficiais listadas abaixo fala de verificadores online. O que o comunicado do PHP oferece é uma lista de versões corrigidas, então a verificação que importa é a versão em que o seu site roda e se ela está na correção da linha dela ou acima. A hospedagem pode confirmar, e o Diagnóstico ou o seu painel mostram o número.

Mais perguntas

O PHP 8.3.36 está protegido contra o PHP2Shell?

O PHP 8.3.36 é a versão corrigida da linha 8.3, segundo o comunicado do PHP de 21 de outubro de 2026. Em 23 de outubro, o projeto publicou ainda um comunicado informativo sobre um problema separado e improvável, que só afeta configurações de sessão incomuns.

Isso afeta meu site WordPress mesmo com o WordPress atualizado?

Sim, pode afetar. As falhas estão no PHP, a linguagem em que o WordPress roda, e o comunicado diz que todas as instalações de PHP que atendem requisições web são afetadas. Manter WordPress, temas e plugins atualizados continua sendo boa prática, mas a correção deste problema é uma versão nova do PHP.

A hospedagem diz que já corrigiu. Preciso fazer algo?

Confira a versão no Diagnóstico ou no painel contra a lista de versões corrigidas, para ter certeza de que vale para o seu site. Se você tem vários domínios, confira cada um. Se tiver motivo para achar que o site foi alterado antes da atualização, procure sinais de invasão.

O que é o PHP2Shell?

É o nome pelo qual, segundo a CISA, são conhecidas as falhas CVE-2026-109618 e CVE-2026-109619. As duas estão no próprio PHP, não no WordPress nem em um plugin. Nosso guia sobre a vulnerabilidade do PHP explica mais.

Fontes