As falhas críticas no PHP reveladas nesta semana colocaram administradores de sites do mundo inteiro em modo de alerta. Catalogadas como CVE-2026-109618 e CVE-2026-109619, as duas brechas receberam nota 9,2 em 10 e, segundo a empresa de segurança Qualys, podem levar à execução remota de código em servidores que atendem requisições web.
O motivo da preocupação é simples: o PHP roda por trás de uma enorme fatia da internet. De acordo com a W3Techs, citada pelo Canaltech, cerca de 69% dos sites com linguagem de servidor conhecida usam a tecnologia. Isso inclui WordPress, Drupal e Joomla. Abaixo, você entende o que se sabe até agora, o que muda para quem tem site ou loja virtual e quais passos dar hoje.
O que são as falhas críticas no PHP
Segundo a análise da Qualys, as duas vulnerabilidades têm origem no gerenciamento de memória. A CVE-2026-109618 envolve uma situação de falta de memória em que dados da requisição ficam parcialmente inicializados e a limpeza posterior trabalha sobre um estado inválido. Já a CVE-2026-109619 trata de um estado global obsoleto, que faz o programa continuar usando dados que já foram liberados (o chamado use-after-free). Os pesquisadores demonstraram execução remota de código nesse segundo caso.
Na prática, um atacante não precisa de login para tentar explorar o problema, e o alvo é o próprio interpretador do PHP, não um plugin específico. A Qualys lista como ambientes afetados o PHP-FPM, o Apache com mod_php, o php-cgi, o FrankenPHP e o LiteSpeed.
Versões corrigidas e prazo para atualizar
As correções saíram em 21 de outubro de 2026 nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Quem usa uma distribuição Linux pode receber o conserto por backport, em que o número da versão continua antigo mesmo com o patch aplicado. Por isso, vale conferir o aviso de segurança da própria distribuição antes de concluir que o servidor está vulnerável.
Versões sem suporte regular, como PHP 8.1 e anteriores, recebem apenas backports limitados, segundo a Qualys. Se o seu site ainda roda nelas, a migração deixou de ser opcional.
Há ataques acontecendo?
A Qualys afirma que tentativas de exploração já foram observadas na internet, com relatos da Amazon, da Cloudflare e de parceiros de hospedagem ouvidos pela Patchstack. A watchTowr também diz ter registrado ataques em seus honeypots a partir de 21 de outubro. O Canaltech, por sua vez, informa que governos e empresas chegaram a tirar sites do ar de forma preventiva enquanto aplicavam as correções.
O histórico da descoberta também chama atenção. Conforme o Canaltech, a empresa Wiz teria usado inteligência artificial para encontrar problemas que levariam meses para ser achados manualmente, e a Calif teria identificado de forma independente uma das brechas com um modelo da OpenAI. Esse trecho vem de uma única fonte, então trate-o com cautela. O que as demais fontes confirmam é que a divulgação oficial foi antecipada depois que informações vazaram nas redes sociais.
Como se proteger: passo a passo
A mensagem das fontes consultadas é a mesma: atualizar só o WordPress ou os plugins não resolve, porque o defeito está na linguagem do servidor. O caminho recomendado é este:
- Descubra qual versão do PHP atende o seu site. Em hospedagem compartilhada, o painel costuma permitir trocar a versão; se não permitir, pergunte ao suporte se o patch já foi aplicado.
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou para o pacote corrigido da sua distribuição.
- Reinicie o PHP-FPM e os processos do servidor web. A Qualys alerta que o comando de versão no terminal pode apontar outra instalação, diferente da que serve o site.
- Se não puder atualizar agora, aplique as mitigações temporárias descritas pela Qualys, como limitar o tamanho das requisições e desativar o acompanhamento de upload na sessão. Elas reduzem o risco, mas não substituem o patch.
- Monitore o tráfego e os logs, e troque senhas e chaves de API se houver suspeita de invasão.
É o mesmo raciocínio que já defendemos em outros casos de segurança, como o vazamento de links do Meta Muse e o bloqueio do WhatsApp em sistemas desatualizados: software sem atualização é a porta de entrada mais fácil.
Perguntas frequentes
Meu site WordPress está em risco?
Pode estar, se o servidor usa uma versão vulnerável do PHP. A correção depende da hospedagem ou do servidor, não do tema nem dos plugins.
Quais versões do PHP resolvem o problema?
As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ou pacotes de distribuições com o backport aplicado.
Preciso desligar o site até atualizar?
Nenhuma fonte consultada impõe isso a todos, mas a NSA, segundo o TechCrunch, recomendou atualizar imediatamente ou tirar sistemas do ar até a correção. Avalie o risco do seu caso.
Conclusão
As falhas críticas no PHP mostram que a segurança de um site começa abaixo do CMS. Quem administra servidor próprio deve atualizar hoje; quem usa hospedagem compartilhada deve cobrar uma resposta do provedor. Quanto antes o patch entrar, menor a janela para quem já está tentando explorar a brecha.
