Falha Crítica no PHP: Como Saber se Seu Site Está Afetado e o Que Fazer Hoje

O PHP é a linguagem por trás de uma parte enorme da web, e muita gente usa sem saber. O assunto virou notícia mundial: governos e empresas tiraram páginas do ar por precaução, e a empresa de segurança Wiz estimou que cerca de 70% da internet poderia ser afetada (número que a BBC não conseguiu verificar). Este guia explica, sem jargão, o que aconteceu, como saber se o seu negócio está no grupo de risco e o que fazer hoje.

O que aconteceu com o PHP?

Duas vulnerabilidades críticas, com nota 9,2 em 10 na escala CVSS v4.0, foram divulgadas e corrigidas. Segundo o aviso oficial, elas podem permitir execução remota de código sem autenticação: em termos práticos, alguém na internet poderia assumir o controle do servidor, instalar código malicioso ou acessar arquivos e banco de dados. O risco é maior em servidores que usam o módulo mod_php do Apache, mas o aviso lista também PHP-FPM, php-cgi, FrankenPHP e LiteSpeed.

A Cloudflare reportou os primeiros ataques em andamento. Isso significa que a janela entre a divulgação e a correção é curta, e que adiar é um risco real para o seu negócio.

Quais plataformas e sistemas usam PHP?

Se o seu site, loja ou sistema foi criado em alguma das plataformas abaixo, ele roda em PHP e precisa de atenção:

Tipo	Plataformas que usam PHP
Sites e blogs	WordPress (incluindo sites feitos com Elementor, Divi e outros construtores), Drupal, Joomla
Lojas virtuais	WooCommerce (WordPress), Magento, PrestaShop, OpenCart
Frameworks de sistemas sob medida	Laravel, Symfony, CodeIgniter
Aplicações prontas	Moodle (cursos online), MediaWiki, phpBB (fóruns), Nextcloud, Matomo, phpMyAdmin
Hospedagem	Hospedagens compartilhadas, painéis como cPanel e outros, e softwares de terceiros que embutem PHP sem avisar

Ferramentas de sites hospedados por terceiros, nas quais você não administra o servidor, deixam a atualização com o provedor. Mesmo assim, vale perguntar a ele se já aplicou a correção.

Como saber se o meu site usa PHP e qual versão está rodando?

Pergunte à pessoa ou empresa que cuida do site. A pergunta é simples: "qual versão do PHP roda no meu site e quando ela foi atualizada?". Se a resposta demorar ou não existir, esse já é um sinal de alerta.
No WordPress: no painel, abra Ferramentas, depois Saúde do Site, aba Informações, seção Servidor. A versão do PHP aparece ali.
No painel da hospedagem: procure por "Versão do PHP", "Select PHP Version" ou "Configuração do PHP". A maioria dos provedores permite ver e trocar a versão em poucos cliques.
Com acesso ao servidor: o comando php -v mostra a versão. Em servidores Linux, algumas distribuições aplicam a correção sem mudar o número da versão, então confirme também o aviso do fornecedor do sistema.

Compare o resultado com a lista de versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Qualquer versão menor dentro dessas linhas, ou qualquer versão 8.1 e anterior (incluindo 7.x e 5.x), precisa de ação.

O que fazer hoje para proteger o seu site

Faça um backup completo do site e do banco de dados antes de qualquer mudança.
Atualize o PHP para uma das versões corrigidas. Em hospedagem compartilhada, isso costuma ser uma troca no painel; em servidor próprio ou VPS, é uma atualização de pacote.
Atualize o sistema e os plugins (WordPress, temas, plugins, Magento, PrestaShop etc.). Versões muito antigas podem quebrar ao subir o PHP, por isso teste o site depois da troca.
Se o seu PHP é 8.1 ou anterior, planeje a migração para uma versão suportada. Alguns fornecedores oferecem correção específica para versões antigas, mas confirme isso por escrito.
Se você não consegue atualizar agora, as agências de segurança recomendam considerar isolar ou tirar o site do ar até a correção. Um firewall de aplicação, como as regras que a Cloudflare liberou, ajuda como medida provisória, mas o aviso oficial é claro: só a atualização resolve de verdade.
Procure sinais de invasão: arquivos desconhecidos nas pastas do site, usuários administradores novos, redirecionamentos estranhos, páginas de spam, lentidão repentina ou alertas do Google.

As mitigações parciais bastam?

Não. O aviso oficial lista ajustes de configuração que reduzem a exposição se você não puder atualizar na hora, mas afirma que eles não tornam a instalação segura. Use-os apenas como ponte até a atualização, e peça a um profissional para aplicá-los, pois cada servidor tem particularidades.

Quando chamar um especialista?

Chame ajuda se você não sabe qual versão roda no seu site, se o responsável pelo site não responde ou não tem plano de atualização, se o seu site é uma loja que recebe pedidos e pagamentos, ou se você encontrou qualquer sinal de invasão. Nesses casos, a Salto Solutions faz uma consultoria tecnológica objetiva: mapeamos o que roda por baixo do seu site, validamos as versões, aplicamos a correção com backup e testes, e deixamos um plano de atualização e monitoramento para os próximos meses. Para casos com suspeita de invasão, também atuamos em inteligência e forense digital, preservando as evidências.

Perguntas Frequentes

Meu site foi invadido por causa dessa falha?

Não necessariamente. A falha permite ataques, mas só uma análise do servidor mostra se houve invasão. Verifique os sinais listados acima e, na dúvida, peça uma avaliação técnica.

Meu site é feito em WordPress. Preciso me preocupar?

Sim, porque o WordPress roda em PHP. A correção vem da atualização do PHP no servidor, e não de um plugin. Pergunte à hospedagem ou ao desenvolvedor qual versão está ativa e se ela já foi atualizada.

Minha hospedagem é compartilhada. Quem atualiza?

Em geral, o provedor cuida do servidor, mas a versão do PHP usada pelo seu site muitas vezes é escolhida no painel. Entre no painel, confira a versão e abra um chamado para o provedor confirmando a aplicação da correção.

Atualizar o PHP pode quebrar o meu site?

Pode, principalmente em sites com plugins e temas antigos. Por isso o backup vem primeiro, e a troca deve ser seguida de testes nas páginas principais, formulários e checkout.

O 70% da internet afetada é um número confiável?

É uma estimativa da empresa de segurança Wiz, e a BBC informou que não conseguiu verificá-la. O que o aviso oficial confirma é que todas as instalações de PHP que atendem requisições web estão no grupo de risco até a atualização.

Quer saber se o seu site usa PHP?

Use o Diagnóstico de PHP gratuito: você cola o endereço do site e vê em segundos se ele usa PHP ou WordPress, a versão quando visível e um score de risco. Para uma visão geral do site, faça o diagnóstico de site ou fale com a Salto Solutions. Você conversa direto com quem vai revisar e corrigir, sem intermediários.

Fonte e atualização: este guia foi escrito em 21/10/2026, a partir do aviso oficial do projeto PHP, do aviso 2026-018 do CERT-EU e da cobertura da BBC News. A situação muda rápido, então confira sempre as versões corrigidas na página oficial do PHP.