O PHP é seguro? A linguagem e a versão que o seu site usa

O projeto PHP dá a cada versão do PHP quatro anos de suporte, e depois disso para de corrigir os problemas de segurança dela. Então, se o PHP é seguro para o seu site depende menos da linguagem e mais da versão que o site roda, e de ela estar corrigida. Este guia está atualizado até 23 de outubro de 2026.

O PHP em si é seguro?

O próprio manual do PHP é franco sobre isso. O capítulo de segurança diz que o PHP pode acessar arquivos, executar comandos e abrir conexões de rede no servidor, e que essas propriedades tornam inseguro por padrão qualquer coisa que rode num servidor web. Ele continua dizendo que, com as opções de configuração certas e práticas corretas de programação, o PHP pode dar "a combinação exata de liberdade e segurança que você precisa".

A linguagem é uma ferramenta, e a segurança de um site depende de como ele é configurado e mantido. O manual diz que o quão seguro é um ambiente PHP "depende muito do desenvolvedor". Num site pessoal, esse trabalho costuma ser dividido entre você, a hospedagem e quem faz o software do site, como o WordPress. Se você não sabe bem o que o PHP faz no seu site, o guia o que é PHP começa do começo.

Qual a diferença entre a linguagem e a versão que eu uso?

O PHP vem em linhas, como 8.3 ou 8.4, e cada linha recebe pequenas versões numeradas com correções, como 8.3.36. Quando alguém pergunta se o PHP é seguro, a pergunta útil é se a sua linha ainda tem suporte e se você está na última versão dela.

A página de versões com suporte do PHP diz que cada linha tem suporte completo por dois anos a partir do primeiro lançamento estável e depois mais dois anos de correções só para problemas de segurança críticos. Depois desses quatro anos, a linha chega ao fim da vida útil. Em 23 de outubro de 2026, a página lista 8.2, 8.3, 8.4 e 8.5 com suporte, e o suporte de segurança do 8.2 termina em 31 de dezembro de 2026. A tabela completa está na página de versões com suporte do php.net.

Se o seu site está numa linha mais antiga, o guia seu site usa PHP 8.1 ou anterior? mostra as opções.

Por que as atualizações de segurança importam tanto?

Porque uma falha descoberta e corrigida continua aberta em qualquer servidor que não instalou a correção. A página de versões com suporte do PHP diz que quem usa uma versão no fim da vida útil deve atualizar o quanto antes, porque pode estar exposto a vulnerabilidades de segurança sem correção.

O CERT.br diz o mesmo sobre programas em geral. A Cartilha de Segurança para Internet explica que atacantes exploram vulnerabilidades em programas com o objetivo de invadir computadores, coletar dados e instalar malware, que os fabricantes lançam correções que precisam ser aplicadas, e orienta configurar atualizações automáticas em sistemas, navegadores e demais aplicativos.

Num site, a atualização normalmente envolve o PHP no servidor, que a hospedagem pode cuidar, e também o software do site e os plugins que rodam sobre ele. Manter um atualizado não cobre o outro.

O que o PHP2Shell mostra sobre isso?

Em 21 de outubro de 2026, o projeto PHP corrigiu duas falhas críticas, que a agência americana CISA diz serem conhecidas como "php2shell", com versões novas apenas para as quatro linhas com suporte. O comunicado diz que o PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto PHP, então quem usa essas versões depende de uma correção adaptada de um fornecedor ou da migração para uma linha com suporte.

No Brasil, o alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, recomenda verificar as versões instaladas e aplicar as atualizações imediatamente. O guia sobre a vulnerabilidade do PHP explica as falhas em detalhe.

Como sei se o meu site está numa versão com suporte e corrigida?

Descubra a versão exata do PHP que o seu site roda e compare com as linhas com suporte e com a última versão corrigida da linha. Se não conseguir achar o número sozinho, a hospedagem pode informar.

O guia como verificar a versão do PHP do seu site mostra onde olhar no WordPress e no painel da hospedagem, e o que perguntar à hospedagem. Se for preciso trocar de versão, como atualizar o PHP no WordPress explica como, começando pelo backup.

Mais perguntas

O PHP ainda é seguro em 2026?

Sim, numa versão com suporte e corrigida. Em 23 de outubro de 2026, a página de versões com suporte do PHP lista 8.2, 8.3, 8.4 e 8.5. As linhas anteriores ao 8.2 chegaram ao fim da vida útil, e a página diz que quem usa uma versão sem suporte pode estar exposto a vulnerabilidades sem correção.

O PHP 8.2 é seguro?

A página de versões com suporte do PHP mostra que o suporte de segurança do 8.2 termina em 31 de dezembro de 2026. O guia seu site usa PHP 8.1 ou anterior? trata do 8.2 e do que planejar.

Visitar um site em PHP coloca o meu computador em risco?

O PHP roda no servidor web, não no seu aparelho, e o comunicado do PHP2Shell trata de instalações que atendem requisições web. Corrigi-las é tarefa de quem administra o site. O guia visitar um site hackeado é perigoso? trata do lado de quem visita.

Com o PHP atualizado, o meu site está seguro?

Não só por isso. O manual do PHP diz que a segurança de um ambiente PHP também depende da configuração e de como o código é escrito. O software do site, os temas e os plugins precisam das próprias atualizações, e a hospedagem responde pelo servidor em volta deles.

Quem atualiza o PHP de um site hospedado?

Muitas vezes a hospedagem, e às vezes você, pelo painel da hospedagem. A CISA lembra que o PHP muitas vezes é um componente de outros softwares. Se não sabe quem cuida do seu, pergunte à hospedagem qual versão o site roda e se ela já tem a correção.

Fontes

• Supported versions, PHP (em inglês)
• Segurança: Introdução, Manual do PHP
• Security advisory: Critical remote code execution vulnerabilities, update now, PHP (21 out. 2026, em inglês)
• Alerta 93/2026, Vulnerabilidades críticas que afeta o PHP, CTIR Gov
• Fascículo Computadores, Cartilha de Segurança para Internet, CERT.br
• Critical vulnerabilities in PHP require immediate patching, CISA (em inglês)