Vulnerabilidade no PHP: seu site WordPress foi afetado?

Nos últimos dois dias, "PHP" apareceu em todo o noticiário. Na Holanda, o DigiD, acesso dos cidadãos aos serviços públicos, saiu do ar. Na Finlândia, alguns sites do governo foram desligados por precaução. Nos EUA, o FBI e a NSA pediram que as organizações tirassem seus servidores do ar se não pudessem aplicar a correção. Na Turquia, a Diretoria de Cibersegurança da Presidência iniciou uma varredura nacional.

Neste artigo explicamos o que aconteceu sem afogar você em detalhes técnicos. Depois mostramos, passo a passo, como um operador de passeios pode saber se o site foi afetado, o que fazer hoje e como se preparar melhor para a próxima vez.

Primeiro, o básico: o que é PHP?

PHP é uma linguagem de programação que funciona nos bastidores de muitos sites. Quando um visitante abre o seu site, o código que monta a página, transforma o formulário de contato em e-mail ou grava uma reserva no banco de dados muitas vezes é escrito em PHP.

Mesmo que você nunca tenha ouvido falar, provavelmente usa em algum lugar. WordPress, WooCommerce, Joomla, Drupal e muitos plugins de reserva rodam em PHP. Segundo o FBI, cerca de 70% dos sites do mundo usam PHP.

O que aconteceu?

Em 20 e 21 de outubro de 2026, a equipe do PHP lançou atualizações de emergência para duas falhas de segurança críticas. Elas são identificadas como CVE-2026-109618 e CVE-2026-109619 e, juntas, ficaram conhecidas como "PHP2Shell". As duas receberam nota de gravidade 9,2 de 10.

Por que é grave: em certas condições, essas falhas permitem que um invasor execute o código que quiser no seu servidor, pela internet, sem usuário nem senha. Em segurança, isso se chama execução remota de código (RCE). Em palavras simples: alguém pode entrar pela sua porta sem precisar da chave.

Segundo a Qualys, uma das falhas surge quando dados ficam pela metade porque o servidor fica sem memória, e a outra quando, depois de um erro, a requisição do visitante seguinte volta a ler uma memória já liberada. Pesquisadores também mostraram que dados como senhas, informações de sessão e chaves de API podem vazar da memória do servidor.

A agência Anadolu informa que as falhas foram encontradas em agosto por uma empresa de segurança chamada Calif, com a ajuda de IA. As correções foram preparadas em silêncio por cerca de dois meses, mas a notícia vazou para a imprensa um dia antes da publicação.

Por que isso é tão grande?

• A escala é enorme: a Palo Alto Networks encontrou mais de 22,6 milhões de sistemas expostos na internet potencialmente vulneráveis.
• Versões antigas estão em toda parte: segundo a Qualys, 71% das instalações de PHP com versão conhecida usam versões sem suporte, que não recebem correções regulares.
• Os ataques começaram: a Cloudflare relatou tráfego de ataque contra essas falhas, e já circula código que pode ser usado para explorá-las.
• A atualização é lenta: nas primeiras 12 horas, apenas cerca de 199 mil das 167 milhões de instalações monitoradas pela Qualys tinham sido atualizadas.

Por isso governos tiraram sites do ar. Enquanto um sistema não é corrigido, o mais seguro é fechar a porta por onde um invasor poderia entrar. Na Turquia, a Diretoria de Cibersegurança enviou avisos urgentes às instituições públicas e pediu que as empresas privadas verificassem seus sistemas PHP. Segundo o órgão, não foram encontrados problemas que afetassem os serviços do e-Devlet, o portal nacional do governo.

O que isso pode significar para um operador de passeios?

O que um invasor pode fazer lá dentro depende do que o seu site guarda. Os cenários mais prováveis:

• Vazamento de dados de clientes: nomes, telefones, e-mails e dados de passaporte dos formulários de reserva. Dependendo de onde você e seus clientes estão, leis como a LGPD ou o GDPR podem exigir notificação.
• Roubo de senhas e chaves: a senha do banco de dados e as chaves de API do meio de pagamento, do channel manager ou do serviço de e-mail.
• Conteúdo malicioso no site: páginas de spam escondidas ou código que redireciona visitantes para outro lugar. Se o Google perceber, o seu site pode aparecer com um aviso e meses de trabalho de SEO podem ser prejudicados.
• Seu servidor usado para outras coisas: mineração de criptomoedas, envio de spam ou ataques a outros sites.
• Perda de vendas: se você precisar tirar o site do ar por precaução, não recebe reservas, mesmo na alta temporada.

O seu site foi afetado? Verifique primeiro a versão

O primeiro passo é saber se o site roda em PHP e em qual versão. No WordPress, vá em Ferramentas → Saúde do site → Informação → Servidor no painel. O painel da hospedagem (cPanel, Plesk etc.) também costuma mostrar em "Versão do PHP".

Estas são as versões que corrigem as falhas:

• No PHP 8.5: 8.5.12 ou mais recente
• No PHP 8.4: 8.4.27 ou mais recente
• No PHP 8.3: 8.3.36 ou mais recente
• No PHP 8.2: 8.2.35 ou mais recente
• No PHP 8.1 ou anterior: não há atualização oficial regular. A menos que a hospedagem tenha aplicado uma correção especial, você precisa migrar para uma versão mais nova.

Uma observação: algumas distribuições Linux publicam a correção mantendo o número da versão antiga. Então um número mais baixo nem sempre significa que o site está vulnerável. Por isso o caminho mais confiável é perguntar diretamente à hospedagem.

O que fazer hoje

• Escreva para a sua hospedagem e pergunte: "O PHP do meu servidor foi atualizado contra o PHP2Shell (CVE-2026-109618 e CVE-2026-109619)?" A resposta "Adicionamos uma regra de firewall" sozinha não basta. Confirme que o próprio PHP foi atualizado.
• Saiba que atualizar o WordPress não resolve: a falha não está no WordPress, e sim no PHP que roda por baixo. Atualizações de plugins ou temas, plugins de segurança e modo de manutenção não protegem, porque o ataque pode rodar antes mesmo de o WordPress carregar.
• Se você tem servidor próprio (VPS): atualize os pacotes do PHP e depois reinicie o PHP-FPM ou o Apache. Um servidor que não foi reiniciado continua rodando o código antigo e vulnerável. No Docker, baixe a nova imagem e recrie os contêineres.
• Se usa uma versão antiga: faça um backup completo guardado fora do servidor e depois migre para o PHP 8.3 ou 8.4. Em seguida, teste um por um a página inicial, as páginas de passeios, o formulário de contato e as etapas de reserva.
• Se não puder corrigir já: colocar o site atrás de um firewall como o Cloudflare dá alguma proteção temporária. Se você tem equipe técnica, ela pode aplicar as configurações provisórias recomendadas pelo PHP (por exemplo, session.upload_progress.enabled=0). Não é uma solução completa, só ganha tempo.

Alguém já entrou? Sinais para verificar

Depois de corrigir, vale verificar se alguém entrou antes de a brecha ser fechada:

• Há contas de administrador no WordPress que você não reconhece?
• Aparece algum plugin que você não instalou?
• Há arquivos .php em wp-content/uploads, a pasta das suas imagens? Não deveria haver arquivos PHP ali.
• Ao pesquisar site:seudominio.com.br no Google, aparecem páginas que você nunca escreveu?
• Há algum aviso em "Problemas de segurança" no Google Search Console?
• A hospedagem enviou avisos de malware, spam ou uso incomum de recursos?

Se notar algum desses sinais, peça à hospedagem que analise o servidor e restaure um backup limpo de antes da atividade suspeita. Depois troque todas as senhas e chaves de API: WordPress, hospedagem, banco de dados, e-mail e integrações de pagamento ou de canais. Se dados de clientes podem ter vazado, consulte um advogado sobre as suas obrigações.

Daqui para frente: cuidados permanentes

O PHP2Shell não será a última falha. A verdadeira pergunta é o quanto você estará preparado da próxima vez. Os hábitos que recomendamos:

• Fique numa versão com suporte: software sem suporte não recebe correções. Hoje, PHP 8.3 ou 8.4 é uma boa escolha.
• Deixe alguém responsável pelas atualizações: quem atualiza o seu site e com que frequência? Precisa haver uma resposta clara. Hospedagem gerenciada ou um contrato de manutenção é um jeito fácil de deixar isso por escrito.
• Saiba o que você tem: site principal, páginas antigas de campanhas, instalações de teste, subdomínios esquecidos… Mantenha uma lista com o servidor e a versão de cada um. Invasores adoram sites esquecidos.
• Remova o que não usa: apague plugins, temas e sites antigos sem uso. Cada peça a mais é mais uma porta que uma falha pode abrir.
• Coloque o site atrás de um firewall: um serviço como o Cloudflare vira a sua primeira linha de defesa quando uma nova falha é anunciada, até você conseguir corrigir.
• Mantenha senhas e chaves separadas: não escreva chaves de API no código, dê a cada serviço só o acesso de que precisa e troque as chaves regularmente.
• Guarde backups fora do servidor e teste a restauração: um backup que nunca foi restaurado é um backup que você não sabe se vai funcionar.
• Monitore o site: verificação de disponibilidade, alertas do Search Console e avisos de alteração de arquivos mostram um problema antes que os seus clientes percebam.
• Escreva um plano curto de incidentes: defina com antecedência quem chamar, como tirar o site do ar temporariamente e como avisar os clientes se algo der errado.

O quadro geral: falhas estão sendo encontradas mais rápido

O ponto mais marcante dessa história é que as falhas foram encontradas com a ajuda de IA. As mesmas ferramentas estão disponíveis para pessoas mal-intencionadas. Daqui em diante, falhas serão encontradas mais rápido, e exploradas mais rápido também.

Ou seja, acabou a fase do "a gente atualiza quando der". Para um operador de passeios, o site não é mais só uma vitrine. É uma ferramenta de negócio que recebe reservas e guarda dados de clientes, então mantê-lo seguro faz parte de manter o negócio funcionando.

Na Monotim, criamos sites sobre uma base moderna que não é afetada diretamente por esse tipo de falha em linguagem de servidor. Mas nenhuma tecnologia fica segura para sempre. O que realmente faz diferença é acompanhar o site e conseguir agir rápido quando algo dá errado.

Se você não tem certeza se o seu site foi afetado pelo PHP2Shell, ou se a hospedagem não deu uma resposta clara, podemos olhar juntos.