Como atualizar o PHP no WordPress depois do PHP2Shell

WindowsMacAtualizado

Você não atualiza o PHP por dentro do WordPress. O PHP fica instalado no servidor da hospedagem, então a troca é feita no painel da hospedagem, ou você pede para a hospedagem fazer. Depois do comunicado de segurança do PHP de 21 de outubro de 2026, o seu site precisa estar em uma versão corrigida, e o projeto PHP diz que atualizar é a única correção completa.

Resposta rápida

Faça um backup do site e depois atualize WordPress, temas e plugins em Painel > Atualizações. Troque a versão do PHP no painel da hospedagem; no cPanel, isso fica no MultiPHP Manager. Em seguida, confira se o site funciona e veja a nova versão em Ferramentas > Diagnóstico > Informação > Servidor. Se não conseguir trocar sozinho, peça à hospedagem.

Por que o PHP precisa ser atualizado agora?

Em 21 de outubro de 2026, o projeto PHP publicou correções para duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, que a agência americana CISA diz serem conhecidas como "php2shell". O comunicado do PHP diz que elas podem permitir a execução remota de código sem autenticação e que afetam todas as instalações de PHP que atendem requisições web. O WordPress roda em PHP, então um site WordPress está incluído, seja qual for a versão do WordPress.

A lista de versões corrigidas está no guia como verificar a versão do PHP do seu site, que também mostra como descobrir a sua. Nosso guia sobre a vulnerabilidade do PHP explica as falhas em si.

Como fazer backup do WordPress antes de trocar o PHP?

A página "Atualize seu PHP hoje" do WordPress em português explica o motivo: um backup permite que você restaure o site à forma como ele era antes de algo dar errado. O guia de backups do WordPress, em inglês, acrescenta que o site tem duas partes. O banco de dados guarda posts e comentários, e os arquivos guardam todo o resto: o próprio WordPress, temas, plugins, uploads e o wp-config.php. Fazer backup dos arquivos não salva o banco de dados, então você precisa dos dois.

  1. Veja se a sua hospedagem oferece uma ferramenta de backup.
  2. Se não oferecer, use um plugin de backup. A página "Atualize seu PHP hoje" lembra que existem vários plugins de backup gratuitos.
  3. Guarde cópias em mais de um lugar. O WordPress sugere manter de 3 a 5 backups recentes em locais diferentes, como o servidor, um armazenamento em nuvem e o seu computador.

Para restaurar esse backup depois de trocar o PHP, a página "Atualize seu PHP hoje" avisa que a hospedagem também terá de voltar à versão anterior do PHP.

Como atualizar WordPress, temas e plugins primeiro?

A página "Atualize seu PHP hoje" manda atualizar tudo antes de trocar o PHP e depois conferir se o site funciona como esperado.

  1. No painel do WordPress, vá em Painel > Atualizações.
  2. Se houver uma nova versão do WordPress, clique em Atualizar agora.
  3. Atualize os plugins e temas que tiverem atualização pendente.
  4. Visite o site e clique nas páginas que mais importam, como a loja ou o formulário de contato.

Para ver se temas e plugins estão prontos para um PHP mais novo, o WordPress sugere o plugin PHP Compatibility Checker. Ele mesmo avisa que o plugin "não é perfeito, podendo ignorar alguns itens ou criar falsos positivos". Se algo for apontado, a orientação é falar com os desenvolvedores do tema ou plugin e, se eles não puderem ajudar, procurar uma alternativa parecida no WordPress.org.

Como trocar a versão do PHP no cPanel?

A documentação do cPanel, em inglês, descreve o MultiPHP Manager, que permite definir a versão do PHP de cada domínio da conta. O cPanel coloca a ferramenta na seção Software.

  1. Entre no cPanel e abra o MultiPHP Manager.
  2. Marque a caixa ao lado do domínio que você quer alterar.
  3. Escolha uma versão no menu PHP Version.
  4. Clique em Apply.

O cPanel diz que o menu só lista as versões instaladas no servidor e disponíveis para a sua conta, e que quem as instala é o administrador do servidor. Ou seja, a versão exata dentro de uma linha, como 8.3.36, depende do que a hospedagem instalou. Por isso a conferência depois da troca é importante.

Algumas hospedagens usam outro painel, ou uma ferramenta de PHP com outro nome. A página "Atualize seu PHP hoje" tem uma lista de hospedagens com instruções e, se a sua não estiver lá, um modelo de e-mail pedindo ajuda.

Como conferir o site depois de atualizar o PHP?

Confirme primeiro a versão e depois o site.

  1. No WordPress, vá em Ferramentas > Diagnóstico, clique na aba Informação e abra Servidor.
  2. Desça até Versão do PHP e confira se ela está na versão corrigida da sua linha, segundo o guia como verificar a versão do PHP do seu site.
  3. Visite as páginas principais do site e entre e saia do painel.
  4. Volte em Ferramentas > Diagnóstico e veja na aba Status se apareceu algum problema crítico novo.

Se algo quebrar, a página "Atualize seu PHP hoje" diz que você pode voltar a versão do PHP você mesmo, ou falar com a hospedagem ou com um desenvolvedor. Se precisar restaurar o backup, peça primeiro à hospedagem que volte a versão do PHP que estava em uso e só depois restaure.

Quando pedir à hospedagem?

Peça à hospedagem se qualquer um destes casos se aplicar:

  1. O domínio aparece como Inherited no MultiPHP Manager. O cPanel diz que isso significa usar o padrão do sistema, que só o administrador do servidor define.
  2. A versão de que você precisa não aparece no menu. O cPanel diz que as versões só aparecem quando o administrador as instala.
  3. Você não acha nenhuma configuração de PHP, ou o seu plano é gerenciado pela hospedagem.
  4. O seu site está no PHP 8.1 ou anterior. O projeto PHP diz que essas versões não recebem mais atualizações dele, e que alguns fornecedores oferecem correções adaptadas. Pergunte se a hospedagem aplicou uma, ou migre para uma versão com suporte.

O comunicado do PHP lista medidas temporárias, mas diz que elas não tornam uma instalação segura. O alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, também ressalta que medidas temporárias não substituem a correção. Em hospedagem compartilhada, o que você deve pedir é a atualização.

Mais perguntas

Dá para atualizar o PHP pelo painel do WordPress?

Não. A página "Atualize seu PHP hoje" diz que o PHP fica no servidor, então a atualização passa pelas configurações da hospedagem ou por um pedido à hospedagem. O painel mostra a sua versão em Ferramentas > Diagnóstico > Informação > Servidor, mas a troca é feita no servidor.

Qual versão do PHP o WordPress deve usar?

A página "Atualize seu PHP hoje" recomenda o PHP 8.3 ou superior. A página de versões com suporte do PHP mostra que o 8.2 só recebe correções de segurança até 31 de dezembro de 2026.

Atualizar o PHP vai quebrar meu site WordPress?

Pode quebrar, se um tema ou plugin não estiver pronto para a versão nova. É por isso que o WordPress manda fazer backup e atualizar tudo antes, e sugere o PHP Compatibility Checker. Se algo quebrar, você pode voltar a versão ou pedir ajuda à hospedagem enquanto resolve.

Atualizar o WordPress basta para corrigir o PHP2Shell?

Não. As falhas estão no PHP, não no WordPress. Atualizar WordPress, temas e plugins faz parte da preparação, mas o comunicado do PHP diz que só uma atualização do PHP é uma correção completa.

E se o meu site já tiver sido alterado por alguém?

O NCSC britânico recomenda procurar sinais de invasão e portas dos fundos em sistemas que não puderam ser atualizados logo. Nosso guia site hackeado: o que fazer mostra os primeiros passos para um site pessoal.

Fontes