O que é PHP, e por que uma falha no PHP importa mesmo para quem nunca programou?

WindowsMacAtualizado

PHP é uma linguagem de programação para criar sites. O manual do PHP a descreve como uma linguagem de script open source de uso geral, muito utilizada e "especialmente adequada para o desenvolvimento web". Ela roda no computador que envia a página, chamado servidor, e não no celular ou no notebook em que você lê a página. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

PHP é uma linguagem open source em que muitos sites são escritos. O código roda no servidor do site, que monta cada página e envia o resultado pronto para o seu navegador. Por isso uma falha no PHP é um problema de quem administra sites, e a correção é uma atualização no servidor, não no seu aparelho.

Para que serve o PHP?

Principalmente para fazer páginas que mudam. Uma página simples é um arquivo fixo. Uma página em PHP é um pequeno programa que escreve a página na hora em que você a pede, e por isso pode mostrar o seu carrinho, a sua conta ou os posts mais recentes.

O manual do PHP diz que a linguagem é focada principalmente nos scripts do lado do servidor, e dá exemplos do que isso cobre: coletar dados de formulários, gerar páginas com conteúdo dinâmico e enviar e receber cookies.

Você também pode encontrar o PHP sem ver o nome dele. O WordPress diz que o PHP é uma das linguagens de programação em que ele é construído. O manual acrescenta que o PHP pode rodar sozinho, pela linha de comando, em scripts agendados e em rotinas simples de processamento de texto.

O que significa "lado do servidor" para um site e para quem visita?

Significa que o trabalho acontece no computador do site antes de qualquer coisa chegar até você. O manual do PHP explica a diferença em relação ao JavaScript, que roda no navegador: com o PHP, "o código é executado no servidor, gerando o HTML que é então enviado para o navegador".

Quando você abre uma página de um site em PHP, o servidor roda o PHP, produz uma página comum e envia essa página. O manual diz que o navegador recebe os resultados do script, "mas não sabe qual era o código fonte", e que um servidor pode ser configurado de modo que "não haverá como os usuários dizerem que o PHP está sendo usado".

Para quem visita, isso tem duas consequências simples. Você não precisa ter PHP instalado para usar um site em PHP, e em geral não consegue saber se um site o usa.

Por que uma falha no PHP afeta tantos sites?

Porque todo site que usa PHP roda o mesmo software principal, e uma falha nele é compartilhada por todos até que cada um seja atualizado. Em 21 de outubro de 2026, o projeto PHP anunciou duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, e disse que estão em risco todas as instalações de PHP que atendem requisições web. No Brasil, o alerta 93/2026 do CTIR Gov, o centro de resposta a incidentes do governo federal, recomendou identificar os sistemas que usam PHP e aplicar as atualizações imediatamente.

Nenhuma das fontes oficiais deste guia dá um número ou uma porcentagem de sites que usam PHP, então não damos um aqui. O que elas dizem é que o PHP está em muitos lugares e nem sempre é fácil de ver. A agência americana CISA diz que o PHP muitas vezes é um componente de outros softwares e que a presença dele pode não ser diretamente visível. A página do WordPress sobre atualizar o PHP diz que, "por ser tão popular, o PHP é um alvo para hackers".

As falhas em si, a gravidade e as versões que as corrigem estão no nosso guia sobre a vulnerabilidade do PHP.

Por que o meu aparelho não roda o PHP do site?

Porque o PHP roda onde o site mora. O navegador pede a página ao servidor, o servidor roda o PHP, e o que volta para você é a página pronta, em HTML. O comunicado do PHP de 21 de outubro cita como pontos de risco configurações de servidor, como PHP-FPM, Apache com mod_php e LiteSpeed.

Visitar um site com uma versão antiga ou sem correção do PHP não coloca esse PHP no seu celular ou notebook. O risco para quem visita é outro: se atacantes tomarem conta de um site, podem mudar o que ele mostra para você. O guia visitar um site hackeado é perigoso? mostra como isso acontece e o que observar.

A exceção é se você mesmo instalou o PHP, por exemplo para criar ou testar sites no seu computador. Aí você tem uma cópia para atualizar, como qualquer outro programa.

O que é uma vulnerabilidade no PHP, explicando de forma simples?

O CERT.br define vulnerabilidade como uma falha no projeto, na implementação ou na configuração de programas, serviços ou dispositivos. O alerta do CTIR Gov diz que as falhas de outubro de 2026 podem permitir a execução remota de código por um atacante não autenticado. Em termos simples, alguém poderia fazer um servidor executar instruções próprias sem precisar fazer login.

A resposta do projeto PHP é atualizar. As notas de lançamento dizem que não existem medidas paliativas completas e que atualizar é a única escolha segura. Se você cuida de um site, o primeiro passo é descobrir a versão dele: como verificar a versão do PHP do seu site mostra onde olhar e lista as versões corrigidas.

Mais perguntas

O PHP é um vírus ou um programa no meu computador?

Não. O PHP é uma linguagem de programação e o software que a executa, não um malware. Ele roda nos servidores que hospedam sites. Para ver se o seu computador tem uma cópia, o guia como saber se o PHP está instalado mostra o comando para rodar.

O que significa a sigla PHP?

O manual do PHP diz que PHP significa "PHP: Hypertext Preprocessor", um acrônimo recursivo: a primeira palavra da sigla é a própria sigla. O "pré-processador" indica o que ele faz: trabalha a página antes de ela ser enviada ao navegador.

Quem decide a versão do PHP do meu site?

Em geral, a hospedagem. A página do WordPress sobre atualizar o PHP diz que é a empresa de hospedagem que determina quais versões do PHP estão disponíveis para o seu site, e muitas deixam você trocar a versão sozinho. O guia como verificar a versão do PHP do seu site mostra onde olhar.

Dá para saber se um site usa PHP?

Muitas vezes não. O manual do PHP diz que um servidor pode ser configurado de modo que não haja como os usuários saberem que o PHP está sendo usado. Se o site é seu, o painel da hospedagem ou a própria hospedagem informam a versão.

O PHP é seguro?

Depende da versão que o site roda: as versões com suporte recebem correções de segurança, e as que chegaram ao fim da vida útil não. O guia o PHP é seguro? explica como funciona o suporte do PHP.

Fontes