Seu site usa PHP 8.1 ou anterior? As opções depois do PHP2Shell

WindowsMacAtualizado 2026-10-23

O PHP 8.1 chegou ao fim da vida útil em 31 de dezembro de 2025, segundo a lista de versões sem suporte do projeto PHP, e a última versão dele foi a 8.1.34. Quando o projeto corrigiu duas falhas críticas em 21 de outubro de 2026, não lançou nenhuma versão nova para o 8.1 nem para as anteriores. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

Em 23 de outubro de 2026, só o PHP 8.2, 8.3, 8.4 e 8.5 recebem correções de segurança, e o 8.2 para em 31 de dezembro de 2026. Se o seu site usa 8.1 ou anterior, pergunte à hospedagem se uma correção adaptada foi aplicada, atualize o seu CMS e os plugins e depois migre para uma versão com suporte.

Quais versões do PHP ainda recebem correções de segurança?

A página de versões com suporte do projeto PHP lista quatro linhas. Cada uma tem dois anos de suporte completo a partir do primeiro lançamento estável e depois mais dois anos só para problemas de segurança críticos. Depois disso, a linha chega ao fim da vida útil e deixa de ter suporte.

Linha	Suporte completo até	Correções de segurança até
8.2	31/12/2024	31/12/2026
8.3	31/12/2025	31/12/2027
8.4	31/12/2026	31/12/2028
8.5	31/12/2027	31/12/2029

Quando o PHP 8.1, o 8.0 e o 7.4 perderam o suporte?

A página de versões sem suporte do projeto PHP dá estas datas e últimas versões:

PHP 8.1: 31 de dezembro de 2025, última versão 8.1.34
PHP 8.0: 26 de novembro de 2023, última versão 8.0.30
PHP 7.4: 28 de novembro de 2022, última versão 7.4.33

A mesma página de versões com suporte diz que quem usa uma versão no fim da vida útil deve atualizar o quanto antes, porque pode estar exposto a vulnerabilidades de segurança sem correção.

O que o comunicado de 21 de outubro diz sobre as versões antigas?

Diz que o PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto PHP. E continua: algumas distribuições e fornecedores de suporte de longo prazo (LTS) oferecem correções adaptadas, então fale com o seu fornecedor ou migre para uma versão com suporte. Uma correção adaptada, ou backport, é o reparo de segurança copiado para uma versão mais antiga.

O comunicado diz também que, dada a gravidade das falhas, a equipe de segurança do PHP publicou correções mínimas em código-fonte para o PHP 7.4, 8.0 e 8.1, voltadas a quem compila o PHP por conta própria ou não tem acesso a um fornecedor LTS. Ele não lista nenhuma versão nova de 7.4, 8.0 ou 8.1.

O alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, considera afetadas as instalações anteriores às versões corrigidas, conforme a linha de desenvolvimento e o suporte do fornecedor. A lista de versões corrigidas e como achar a sua estão em como verificar a versão do PHP do seu site.

A agência americana CISA é mais direta sobre as versões antigas: diz que organizações que não conseguem atualizar de imediato, ou que continuam no PHP 8.1 ou anterior, devem tirar do ar os sistemas em PHP até que possam ser corrigidos ou atualizados.

O PHP 8.2 é seguro, e quando ele acaba?

O PHP 8.2.35 é a versão corrigida da linha 8.2. A nota de lançamento dele no php.net traz um aviso: o PHP 8.2 chega ao fim da vida útil em 31 de dezembro de 2026, não vai receber mais correções de segurança depois dessa data, e o projeto pede que você planeje a migração para uma versão com suporte.

Então um site no 8.2.35 tem a correção das duas falhas de 21 de outubro, mas só cerca de dez semanas de correções de segurança pela frente. Se você vai sair do 8.1 agora, ir direto para o 8.3 ou mais novo evita fazer a troca duas vezes. A página do WordPress sobre atualizar o PHP recomenda o 8.3 ou superior.

Quais são as minhas opções com um site numa versão antiga?

Num blog, no site de uma associação ou numa loja pequena, o trabalho costuma se dividir entre você e a hospedagem.

Faça duas perguntas à hospedagem. Em qual versão do PHP o meu site está? E, se for 8.1 ou anterior, foi aplicada uma correção adaptada para a CVE-2026-109618 e a CVE-2026-109619? O comunicado do PHP manda quem está em versão antiga falar com o fornecedor. Num site hospedado, essa pergunta vai para a hospedagem.
Prepare o site para a troca. O WordPress orienta fazer um backup antes de mudar o PHP, atualizar WordPress, temas e plugins em Painel > Atualizações e conferir se o site continua funcionando. Ele diz que o próprio WordPress roda com PHP desde a versão 7.4, mas que não sabe se os seus temas ou plugins vão funcionar em versões mais novas. O guia como atualizar o PHP no WordPress mostra esses passos em ordem. Se você usa outro CMS, a documentação dele diz quais versões do PHP ele aceita.
Migre para uma versão com suporte. Com o site atualizado, peça à hospedagem para fazer a troca, ou faça você mesmo se o painel permitir.

Se nada disso puder acontecer logo, a orientação da CISA acima é tirar o site do ar até que ele possa ser corrigido ou atualizado. O CTIR Gov lembra que medidas temporárias, como restringir o acesso pela internet, não substituem a aplicação das correções.

O que fazer com um software que ficou sem suporte?

O guia do NCSC britânico sobre produtos obsoletos parte da ideia de que todo software, incluindo sistemas operacionais, um dia fica desatualizado. Ele diz que, quando os desenvolvedores param de lançar atualizações de segurança, aumenta a chance de vulnerabilidades exploráveis chegarem ao conhecimento de atacantes, e que com o tempo elas podem ser exploradas por atacantes com pouca habilidade.

A posição dele é clara: a única forma totalmente eficaz de reduzir esse risco é parar de usar o produto obsoleto. Ele admite que nem sempre dá para fazer isso na hora, recomenda atualizar em vez de continuar correndo o risco e, se você continuar por um tempo, pede que reveja essa decisão com regularidade. Para um site no PHP 8.1 ou anterior, a resposta é a mesma do projeto PHP: uma versão com suporte.

Mais perguntas

O PHP 7.4 é afetado pelo PHP2Shell?

O alerta do NCSC britânico diz que organizações que usam qualquer versão do PHP são afetadas, e a equipe de segurança do PHP publicou uma correção mínima em código-fonte para o 7.4 por causa da gravidade das falhas. Não existe versão oficial nova do 7.4. Pergunte à hospedagem se ela aplicou uma correção adaptada e planeje a migração.

A hospedagem diz que adaptou a correção para o PHP 8.1. Isso basta?

O comunicado do PHP diz que alguns fornecedores oferecem correções adaptadas e que é com eles que você deve confirmar, então a hospedagem é quem confirma. A linha continua no fim da vida útil, e o NCSC recomenda migrar em vez de continuar correndo o risco.

Trocar para uma versão mais nova do PHP vai quebrar o meu site?

Pode quebrar, e por isso a ordem importa. O WordPress diz que atualizar o PHP não deve ser um problema, mas que não pode garantir isso, e pede backup e atualização de temas e plugins antes. Ele lembra ainda que, para restaurar um backup, a hospedagem também precisaria voltar o PHP para a versão que você usa hoje.

O que acontece com o PHP 8.2 depois de 31 de dezembro de 2026?

O projeto PHP diz que o 8.2 não vai receber mais correções de segurança depois dessa data e pede que você planeje a migração. A partir daí, um site no 8.2 fica sem suporte, como o 8.1 e as versões anteriores.