A hospedagem diz que o PHP foi corrigido. O que ainda fica comigo?

WindowsMacAtualizado

A correção feita pela hospedagem atualiza o PHP, a linguagem que os servidores dela usam para rodar o seu site. O projeto PHP lançou essas correções em 21 de outubro de 2026, no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O software que você instalou por cima é outra tarefa: o guia de segurança do WordPress diz que as hospedagens costumam responder pela infraestrutura, mas não respondem pela aplicação que você escolhe instalar.

Resposta rápida

A correção da hospedagem cobre o PHP nos servidores dela. Na sua conta, atualize o WordPress ou o seu CMS, com plugins e temas. Confira qual versão do PHP cada um dos seus sites usa, porque o cPanel permite uma por domínio. Procure sinais de invasão, como orienta o NCSC britânico, e troque as senhas se algo parecer errado.

O que a correção da hospedagem cobre?

Cobre o PHP em si. O comunicado do PHP de 21 de outubro de 2026 diz que duas falhas, a CVE-2026-109618 e a CVE-2026-109619, afetam todas as instalações de PHP que atendem requisições web e podem permitir a execução remota de código sem autenticação. Em termos simples, alguém poderia rodar código próprio no servidor sem fazer login. O comunicado cita PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed, todos softwares de servidor, então em hospedagem compartilhada ou gerenciada essa atualização é da hospedagem. O alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, pede que as correções sejam aplicadas imediatamente.

A correção não atualiza o WordPress, um tema ou um plugin. Esses têm atualizações próprias.

Sobre exploração, em 23 de outubro de 2026: o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. O comunicado do PHP considera o risco maior no Apache com mod_php e fala de um ataque já demonstrado nessa configuração, ou seja, uma prova de que o ataque funciona.

Ainda preciso atualizar WordPress, plugins e temas?

Sim. O guia de segurança do WordPress manda manter sempre a versão mais recente do WordPress e diz que versões antigas não recebem atualizações de segurança. Ele dá o mesmo conselho para os plugins e pede que você apague os que não usa. Faça um backup antes, como sugere o guia de atualização do WordPress.

  1. Entre no painel e vá em Painel > Atualizações.
  2. Se houver uma nova versão do WordPress, clique em Atualizar agora.
  3. Na mesma tela, marque os plugins e temas com atualização pendente e clique em Atualizar plugins ou Atualizar temas. Marcar a caixa do topo de cada seção seleciona todos.
  4. Vá em Plugins > Plugins instalados e remova os que você não usa mais.

O WordPress diz que a maioria dos sites já aplica sozinha as versões menores e de segurança, mas uma versão principal ainda exige que você clique em Atualizar agora.

Em qual versão do PHP o meu site está de fato?

Confira em vez de supor. A documentação do cPanel diz que cada domínio pode usar qualquer versão do PHP instalada, então vale confirmar separadamente a versão que a hospedagem corrigiu e a versão que cada site seu roda. O guia como verificar a versão do PHP do seu site mostra onde olhar no WordPress e no cPanel. Se um site estiver numa versão antiga, como atualizar o PHP no WordPress explica a troca. O PHP 8.1 e as anteriores não recebem mais atualizações do projeto PHP, então um site numa delas pede uma conversa com a hospedagem.

Devo procurar sinais de invasão?

Sim, se houve algum intervalo antes da correção. O alerta do NCSC britânico diz que, se não for possível atualizar ou desligar um sistema de imediato, deve-se procurar sinais de invasão antes de atualizar e verificar se um atacante instalou portas dos fundos. Um PHP novo fecha a falha. Ele não diz se algo aconteceu antes.

  1. Vá em Usuários > Todos os usuários e clique no link Administrador acima da tabela. O FAQ do WordPress sobre sites hackeados cita a criação de usuários novos como um sinal claro.
  2. Abra o relatório Problemas de segurança no Google Search Console. O Google diz que o relatório mostra o que encontrou se o site foi invadido ou pode prejudicar os visitantes.
  3. Pergunte à hospedagem se ela encontrou algo na sua conta.

O guia como saber se o seu WordPress foi hackeado mostra cada verificação em detalhe.

Quando devo trocar as senhas?

Na hora, se algo parecer errado. O FAQ do WordPress manda trocar todos os pontos de acesso: FTP ou SFTP, o painel do WordPress, o cPanel ou outro painel da hospedagem e o banco de dados, para todos os usuários com acesso, não só você. O guia site hackeado: o que fazer traz as senhas na ordem, com o resto da primeira hora.

O que perguntar à hospedagem?

Perguntas curtas e objetivas trazem as respostas mais úteis.

  1. Em qual versão do PHP cada um dos meus sites roda agora? É 8.5.12, 8.4.27, 8.3.36 ou 8.2.35?
  2. Se algum domínio meu está como Inherited (herdado), qual é a versão padrão do servidor?
  3. Se um site está no PHP 8.1 ou anterior, vocês aplicaram uma correção adaptada? O projeto PHP diz que alguns fornecedores oferecem.
  4. Vocês definiram session.upload_progress.enabled=0, como sugere o comunicado informativo do PHP de 23 de outubro até a próxima versão regular de correções?
  5. Vocês viram algo na minha conta, ou no servidor que eu compartilho, que indique invasão? O FAQ do WordPress diz que uma invasão em hospedagem compartilhada pode atingir mais de um site.
  6. Que backups do meu site vocês guardam? O WordPress sugere perguntar à hospedagem sobre a política de backup.

Mais perguntas

A minha hospedagem foi afetada pelo PHP2Shell?

Se ela roda PHP para servir sites, estava no alcance das falhas até atualizar. O NCSC diz que organizações que usam qualquer versão do PHP são afetadas, e a CISA lembra que o PHP muitas vezes é um componente de outros softwares. O guia sobre a vulnerabilidade do PHP explica as falhas.

A hospedagem corrigiu o PHP. O meu site está seguro?

As duas falhas estão corrigidas nas versões novas. O guia de segurança do WordPress lembra que, num servidor compartilhado, o seu site também pode ser comprometido se outro site do mesmo servidor for. As suas atualizações, a conferência da versão e a busca por sinais de invasão continuam importando.

Um firewall de aplicação web faz o mesmo que a correção?

Não. O comunicado do PHP diz que só uma atualização é uma solução completa. O guia como testar o seu site contra o PHP2Shell mostra o que um firewall pode fazer enquanto isso.

Do que tratava o comunicado do PHP de 23 de outubro?

De uma via separada e improvável de execução remota de código, a CVE-2026-115560. O PHP diz que ela exige uma combinação incomum de configuração e código da aplicação, e sugere definir session.upload_progress.enabled=0 até a próxima versão regular. Essa configuração fica no servidor, então quem a faz é a hospedagem.

O meu site deve sair do ar até a hospedagem corrigir?

O NCSC diz para considerar tirar um sistema do ar se ele não puder ser atualizado ou protegido logo. A CISA diz para tirar do ar sistemas em PHP que não possam ser atualizados de imediato ou que ainda rodem PHP 8.1 ou anterior. Depois que o seu site estiver confirmado numa versão corrigida, essa orientação deixa de valer para ele.

Fontes