Em 21/10/2026 o projeto PHP publicou um aviso de segurança com o título "critical RCE vulnerabilities, update now". RCE quer dizer execução remota de código: alguém de fora consegue mandar o servidor rodar comandos. O PHP é a linguagem por trás de cerca de 70% dos sites, o WordPress incluso.
A falha foi encontrada com ajuda de IA e, segundo a análise da Wiz, já existia há mais de uma década: todas as versões da última década têm ao menos uma das duas falhas. Pesquisadores demonstraram invasão sem login num WordPress atualizado, e a Amazon disse ter visto tentativas de exploração desde 17/10, antes da divulgação.
Este guia traz o que o vídeo cortou: as versões seguras, onde olhar a versão no seu WordPress, uma mensagem pronta para a hospedagem e o caminho para quem está numa versão antiga. Os dados são de 22/10/2026 e a situação muda rápido, então confira o aviso oficial em php.net antes de agir. Isto não quer dizer que o seu site foi invadido nem que todo site em PHP vai ser.
Lista das versões do PHP com o conserto
O aviso do php.net diz que as versões abaixo corrigem as duas falhas (CVE-2026-109618 e CVE-2026-109619, nota 9,2 de 10 na escala CVSS 4.0):
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Regra simples: dentro da sua linha (8.2, 8.3, 8.4 ou 8.5), a versão precisa ser igual ou mais nova que a listada. Um PHP 8.3.30, por exemplo, ainda está desprotegido.
O aviso cita uma mitigação parcial, desligar o session.upload_progress.enabled, e afirma que ela não deixa a instalação segura. Trate como paliativo, não como solução.
Saúde do site: onde ver a versão do PHP no WordPress
No painel do WordPress:
- Abra Ferramentas.
- Clique em Saúde do site.
- Vá na aba Informações.
- Abra a seção Servidor e procure a linha da versão do PHP.
Compare o número com a lista acima. Em inglês o caminho é Tools, Site Health, Info, Server. Se a sua tela estiver diferente, a documentação oficial do WordPress sobre a tela Saúde do site explica cada parte.
Mensagem pronta para a hospedagem
Em geral quem atualiza o PHP é a hospedagem, não o dono do site. Algumas hospedagens deixam trocar a versão num painel, outras só pelo suporte. Copie, ajuste o domínio e envie:
Olá, tudo bem?
Em 21/10/2026 o projeto PHP divulgou um aviso de segurança crítico
(CVE-2026-109618 e CVE-2026-109619) que corrige falhas de execução
remota de código. O meu site (seudominio.com.br) usa PHP versão X.X.X.
Vocês já atualizaram o PHP do meu plano para uma versão corrigida
(8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou mais nova)? Se ainda não,
podem me dizer quando isso será feito ou como eu mesmo troco a versão?
Obrigado.
Troque X.X.X pela versão que você viu em Saúde do site.
Se o site ainda usa PHP 8.1 ou mais antigo
Segundo o aviso do php.net, o PHP 8.1 e as versões anteriores não recebem atualização do projeto. Não existe um conserto oficial para elas: a saída é migrar para uma das linhas com suporte (8.2 em diante).
Antes de trocar a versão, faça um backup do site. Plugins e temas antigos podem quebrar em versão nova do PHP, então peça a troca num horário tranquilo e teste o site depois. Se a hospedagem não oferece versão nova, é um bom motivo para conversar sobre mudar de plano.
O que este guia não afirma
- Não diz que o seu site foi invadido.
- Não promete que você consegue atualizar o PHP sozinho em qualquer hospedagem.
- Atualizar plugins do WordPress não resolve: a falha está no PHP, não no WordPress.
Fontes
- Aviso de segurança do PHP: https://www.php.net/ (acessado em 22/10/2026)
- Análise da Wiz: https://www.wiz.io/blog/php2shell-php-rce (acessado em 22/10/2026)
- Tela Saúde do site, documentação do WordPress: https://wordpress.org/documentation/article/site-health-screen/ (acessado em 22/10/2026)
- Reportagem da Fortune de 22/10/2026: https://fortune.com/2026/10/22/php-security-flaw-ai-powered-attacks-hackers-openai-daybreak/