Artigos outubro 24, 2026 3 min de leitura

A falha do PHP e por que o seu site também corre risco

Visitanteabre o seu site

Servidor + PHPmonta a página na hora

Página prontachega no navegador

O PHP é o cozinheiro invisível: trabalha a cada visita, sem você ver.

Semana passada, parte da internet travou.
E o culpado tem só três letras: PHP.

Anatel e tribunais federais tiraram sistemas do ar por precaução. Se você tem um site, ou pensa em ter um, isso é com você também. Vou te explicar rápido o que rolou, por que te afeta mesmo sem você ser um órgão público, e te dar seis checagens pra fechar as portas do seu site hoje.

A internet piscou, e o PHP estava no centro.

Em 21 de outubro de 2026, pesquisadores acharam duas falhas críticas no PHP, apelidadas de php2shell. Sério o bastante pra muita gente preferir desligar o sistema a arriscar.

Gravidade 9.2 de 10, quase o teto máximo.
Rodava comando no servidor sem senha nenhuma.
Anatel, TRF1, TRF4 e TRF6 suspenderam sistemas.
Alemanha, França e Holanda também tiraram serviços.
A correção saiu no mesmo dia da descoberta.

PHP 8.2.35

8.3.36

8.4.27

8.5.12

Sem jargão: PHP é a linguagem que roda escondida no servidor
e monta a sua página toda vez que alguém acessa o site.

Pensa no PHP como o cozinheiro do restaurante: a cada pedido,
ele prepara o prato na hora. Metade da internet funciona assim.
E se o seu site é WordPress, ele é PHP da cabeça aos pés.
A ilustração no começo do post explica bem.

O que é
PHP,
afinal?

Uma porta
que abria
sem chave.

Normalmente, pra mexer num servidor você precisa de uma chave: login, senha, permissão. Essa falha era uma fechadura com defeito: um estranho entrava e dava ordens, sem chave nenhuma.

Em segurança, esse é o pior tipo de falha que existe. Por isso o apelido php2shell, e por isso órgãos sérios preferiram tirar tudo do ar na hora.

CVE-2026-109618

CVE-2026-109619

Execução remota sem login

O robô varre a internet inteira atrás de qualquer porta aberta.

O perigo do vibe-coding

Nunca foi tão fácil pedir pra uma IA montar um site e publicar. Isso é incrível, eu mesmo uso e recomendo. Só que a IA entrega um site que funciona; deixar ele seguro ainda é com você. Atualizar, fechar porta, fazer backup: quase sempre fica de fora. Segurança entra no projeto desde o primeiro dia.

Tá, mas e daí?

Essa é a parte que mais passa batido. O robô de ataque varre a internet inteira atrás de qualquer porta aberta, até a sua, sem escolher alvo.

6 formas
de blindar
o seu site hoje.

E olha só, nenhuma delas exige ser programador.
Você, um café e uns 20 minutos resolvem.

Cheque a versão do PHP

No WordPress: Ferramentas › Saúde do site. Abaixo das versões corrigidas? Peça atualização.

Atualize tudo

WordPress, tema e plugins em dia. Ataque adora coisa velha.

Backup automático

Se der ruim, você volta em minutos, não em semanas.

Hospedagem séria

Hospedagem boa corrige o PHP por você, às vezes no mesmo dia.

Menos plugins

Cada plugin abandonado é uma porta a mais pra testarem.

HTTPS e firewall

Plugins de segurança confiáveis fecham muita porta sozinhos.

Todo site precisa
de manutenção
pra seguir no ar.

O seu site é a sua loja aberta 24 horas.
Loja aberta sem ninguém olhando a porta é convite.
Melhor descobrir hoje se a sua está trancada
do que no dia em que ela sai do ar.

Nossa consultoria de marca também cuida disso.

Vamos conversar? →

Manutenção de sites PHP Segurança Vibe coding WordPress