Falha no PHP tira sites do ar: o que fazer com o seu

Duas brechas graves descobertas com ajuda de IA levaram órgãos públicos a suspender sistemas. Veja as versões corrigidas e o que conferir no seu site.

Por Redação Eleven Host · @robson.direitodigital · 22 de outubro de 2026 · 4 min de leitura

Falhas no PHP fizeram órgãos públicos tirarem sistemas do ar; saiba como conferir o seu site. Arte: Eleven Host

A falha no PHP revelada nesta semana atinge a linguagem que roda boa parte dos sites do mundo e levou governos, tribunais e a Anatel a tirar sistemas do ar por precaução. Quem tem site em PHP deve conferir a versão instalada e atualizar para uma versão corrigida.

São duas vulnerabilidades, registradas como CVE-2026-109618 e CVE-2026-109619, com nota de gravidade 9,2 de 10. Segundo o Canaltech, as duas permitem execução remota de código: um criminoso pode rodar comandos no servidor sem ter conta nem acesso autorizado. As falhas foram encontradas em agosto por pesquisadores das empresas Wiz e Calif, que usaram ferramentas de inteligência artificial do Google e da OpenAI para analisar o código do PHP.

As correções saíram na quarta-feira (21): PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A Cloudflare relatou tentativas iniciais de exploração, mas até agora não há confirmação de ataques em massa. Na Europa, órgãos públicos da Alemanha, dos Países Baixos, da Bélgica, da França e da Finlândia suspenderam serviços de forma preventiva.

O que aconteceu no Brasil

De acordo com outra reportagem do Canaltech, a Anatel retirou temporariamente do ar o SEI, seu sistema eletrônico de informações, e afirmou que o problema não é uma falha do próprio SEI. A agência lembrou que outros sistemas em PHP, como Moodle e Joomla, também podem ser afetados. A suspensão não mexe nas redes de telefonia e internet.

Tribunais também agiram. O TRF1 suspendeu o acesso externo ao SEI, a Justiça Federal da 4ª Região cortou o acesso externo a seus sistemas e o TRF6 suspendeu expediente e prazos em Minas Gerais. O CTIR Gov, ligado ao Gabinete de Segurança Institucional, emitiu alerta pedindo que os órgãos identifiquem sistemas em PHP e instalem as versões corrigidas. Todas essas paradas foram preventivas e não há confirmação de invasão.

Atualizar só o WordPress, o tema ou os plugins não resolve: a falha está no próprio PHP.

O que muda para quem tem site

O PHP é a linguagem por trás de blogs, lojas virtuais e da maioria das instalações de WordPress, Joomla e Moodle. Por isso, mesmo um site pequeno pode estar no grupo afetado. A fonte é clara: o que protege é a versão do PHP no servidor, não a versão do painel do site.

Se o seu site fica numa hospedagem gerenciada, a atualização do PHP normalmente é feita pela empresa que hospeda. Se você tem um VPS ou servidor próprio, essa tarefa é sua ou de quem administra a máquina para você.

Como se proteger agora

1. Descubra a versão do PHP. No WordPress, ela aparece em Ferramentas, Saúde do site, aba Informações, seção Servidor. Em painéis de hospedagem, costuma estar na área de configuração do PHP.
2. Compare com as versões corrigidas. Você precisa estar em 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou mais nova dentro da mesma série).
3. Fale com quem hospeda. Pergunte se a versão corrigida já foi aplicada no seu plano e, se não, quando será.
4. Tem VPS? Atualize os pacotes do PHP pelo gerenciador do sistema e reinicie o serviço web e o PHP-FPM, se usar.
5. Versão 8.1 ou anterior? A fonte recomenda conferir com o fornecedor se existe correção ou migrar para uma versão com suporte.
6. Revise plugins e temas. Depois de trocar o PHP, confira se tudo funciona e remova o que você não usa mais. Isso não corrige a falha, mas reduz problemas na troca de versão.

Ficou com dúvida sobre o seu site? Abrir chamado

Entenda

• Duas falhas graves no PHP permitem rodar comandos no servidor sem login.
• As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
• Atualizar WordPress ou plugins não basta: é o PHP que precisa ser atualizado.
• Em hospedagem gerenciada, fale com quem hospeda; em VPS, a atualização é sua.

E se não der para atualizar já?

O CTIR Gov sugere avaliar a suspensão temporária do acesso externo às aplicações vulneráveis quando a atualização não for possível. O centro de segurança do Reino Unido, citado pelo Canaltech, faz a mesma recomendação. Os próprios desenvolvedores do PHP avisam que medidas temporárias não protegem por completo.

Na prática, para um site de empresa, isso significa colocar a página em manutenção até a troca de versão, em vez de deixar o servidor exposto. Também vale ter um backup recente antes de qualquer mudança no servidor.

Quer controle total sobre a versão do PHP do seu servidor? Conhecer os planos VPS

Perguntas frequentes

Quem visita sites corre risco?

A falha está nos servidores que rodam PHP. O alvo é o servidor do site, não o computador de quem visita.

Meu site em WordPress está vulnerável?

Depende da versão do PHP do servidor. Se não estiver em uma das versões corrigidas, está no grupo de risco.

Atualizar os plugins resolve?

Não. A correção precisa ser feita no PHP, segundo a própria fonte.

Houve invasões no Brasil?

As suspensões citadas foram preventivas e, até a publicação da fonte, não havia confirmação de invasões.