Duas falhas críticas de segurança descobriram um ponto fraco em uma das tecnologias mais utilizadas para construir sites. O alerta mobilizou pesquisadores, empresas de hospedagem e órgãos de cibersegurança. Em alguns países, serviços chegaram a sair temporariamente do ar enquanto suas equipes trabalhavam nas correções.
O episódio ganhou contornos de um possível “apocalipse da internet”, mas a realidade exige uma explicação mais cuidadosa: a internet não está entrando em colapso. O problema está em vulnerabilidades do PHP, linguagem utilizada nos servidores de milhões de páginas.
A preocupação é legítima. Dependendo da configuração e da versão do software, criminosos podem explorar as falhas para executar comandos em servidores sem precisar de senha.
A boa notícia é que existem correções. E o que você precisa fazer depende de uma diferença importante: você apenas utiliza sites e aplicativos ou também administra um site, blog ou loja virtual?
O que é o PHP2Shell e por que ele preocupa?
PHP2Shell é o nome atribuído a duas vulnerabilidades críticas de segurança que afetam o PHP, uma linguagem de programação amplamente utilizada para desenvolver sites e aplicações web.
As falhas receberam os identificadores CVE-2026-109618 e CVE-2026-109619. Ambas podem permitir execução remota de código sem autenticação em servidores vulneráveis.
Isso significa que, em determinadas condições, um invasor pode conseguir executar instruções no servidor sem possuir uma conta ou descobrir uma senha.
O problema foi considerado suficientemente grave para que o projeto PHP publicasse correções emergenciais em 21 de outubro de 2026.
Por que a expressão “apocalipse da internet” começou a circular?
A dimensão do problema ajuda a explicar a repercussão.
Segundo a W3Techs, em levantamento publicado em 13 de outubro de 2026, o PHP era utilizado por aproximadamente 69,7% dos sites cuja linguagem de programação do servidor podia ser identificada.
O número demonstra a importância da tecnologia para a web, mas exige uma distinção: a utilização de PHP não significa automaticamente que um site foi invadido ou continua vulnerável.
As versões instaladas, as correções aplicadas, as configurações do servidor e os controles de segurança influenciam o risco real.
O que tornou o episódio preocupante foi a combinação de ampla utilização do PHP, gravidade das falhas e possibilidade de exploração por atacantes remotos.
Quais são as duas falhas de segurança descobertas?
As vulnerabilidades afetam o gerenciamento de memória e o tratamento de informações internas do PHP.
Para entender por que isso importa, imagine que um servidor recebe pedidos de milhares de visitantes. A cada acesso, ele precisa organizar temporariamente dados e liberar recursos quando termina o processamento.
Se o programa utiliza informações que deveriam ter sido descartadas, ou interpreta incorretamente uma área de memória, essa inconsistência pode criar oportunidades para um invasor.
CVE-2026-109618: falha no tratamento de memória insuficiente
A primeira vulnerabilidade envolve situações em que o PHP enfrenta uma condição de memória insuficiente, conhecida como out-of-memory.
Nessas circunstâncias, certas estruturas internas podem ficar incompletas. Durante o encerramento da operação, o sistema pode interpretar incorretamente essas informações e permitir corrupção de memória.
Pesquisadores demonstraram que esse comportamento pode abrir caminho para execução remota de código.
CVE-2026-109619: informações antigas permanecem na memória
A segunda falha está relacionada à permanência de referências a informações que já deveriam ter sido liberadas.
Em determinadas condições, uma solicitação posterior pode acessar esse estado inconsistente, criando outra possibilidade de corrupção de memória e execução indevida de código.
Não é necessário que o usuário comum compreenda todos os detalhes técnicos. O ponto central é que as duas vulnerabilidades podem comprometer servidores, e não apenas páginas isoladas.
Quais os riscos reais para sites e usuários?
Uma invasão bem-sucedida pode ter consequências diferentes conforme os privilégios do processo PHP, os dados disponíveis e as demais proteções do servidor.
Entre os riscos possíveis estão:
- Acesso não autorizado a arquivos e informações armazenadas.
- Alteração de páginas e conteúdos.
- Exposição de credenciais, tokens ou outros dados sensíveis.
- Instalação de códigos maliciosos.
- Interrupção de serviços digitais.
- Utilização do servidor comprometido para outras atividades maliciosas.
Essas consequências representam possibilidades técnicas, não uma confirmação de que ocorreram em todos os sistemas que utilizam PHP.
A equipe de segurança do PHP e o CERT-EU recomendam corrigir imediatamente as instalações afetadas.
Um site invadido pode colocar seus visitantes em risco?
Sim, embora isso não aconteça automaticamente.
Se um invasor conseguir modificar o funcionamento de uma aplicação, poderá tentar apresentar formulários falsos, alterar destinos de navegação, inserir conteúdo malicioso ou acessar informações que o serviço armazena.
Entretanto, visitar um site que utiliza uma versão vulnerável do PHP não significa, por si só, que seu celular ou computador foi infectado.
O risco direto do PHP2Shell está no servidor. Os possíveis prejuízos aos visitantes dependem do que um invasor consiga fazer caso comprometa esse servidor.
Como se proteger do PHP2Shell se você apenas usa a internet?
Para quem utiliza bancos digitais, lojas, redes sociais, serviços públicos e aplicativos, a principal responsabilidade pela correção está com as empresas que operam os servidores.
Você não consegue atualizar o PHP de um site que não administra.
Mesmo assim, algumas precauções reduzem riscos associados a possíveis comprometimentos e tentativas de fraude.
1. Mantenha celular, computador e navegador atualizados
Ative atualizações automáticas sempre que possível.
Isso não corrige o PHP dos sites visitados, mas ajuda a proteger seu dispositivo contra vulnerabilidades próprias do sistema operacional, navegador e aplicativos.
Essa orientação integra as medidas recomendadas pela agência americana de cibersegurança, a CISA.
2. Ative a autenticação em dois fatores
A autenticação em dois fatores adiciona uma verificação além da senha.
Se uma senha for exposta em algum incidente, essa proteção pode dificultar o acesso indevido à conta.
Priorize o e-mail principal, contas bancárias, serviços de armazenamento, redes sociais e plataformas profissionais.
Quando disponível, prefira passkeys, chaves físicas de segurança ou aplicativos autenticadores.
Importante: a autenticação em dois fatores não impede a exploração de uma vulnerabilidade no servidor, mas protege contra determinadas formas de utilização indevida de credenciais.
Para configurar essa proteção, consulte o guia do TecMaker sobre autenticação em dois fatores.
3. Desconfie de mensagens alarmistas
Criminosos podem utilizar notícias sobre grandes falhas de segurança para tentar enganar usuários.
Imagine receber uma mensagem dizendo:
“Seu banco foi afetado pelo apocalipse da internet. Atualize sua senha imediatamente neste link.”
Mesmo que a notícia sobre a vulnerabilidade seja verdadeira, a mensagem pode ser uma tentativa de phishing — golpe que procura capturar informações ou convencer a vítima a executar uma ação maliciosa.
Em vez de abrir o link, entre no aplicativo oficial do banco ou digite o endereço conhecido do serviço.
4. Use senhas diferentes e revise alertas importantes
Um gerenciador de senhas pode ajudar a criar credenciais fortes e exclusivas.
Não é necessário trocar todas as suas senhas simplesmente porque o PHP2Shell foi divulgado. A troca passa a ser importante quando houver indícios de comprometimento da sua conta, reutilização de credenciais expostas ou orientação específica do serviço afetado.
O TecMaker possui um guia sobre como utilizar um gerenciador de senhas com segurança.
5. Mantenha cópias de seus documentos e arquivos
Fotos, documentos, projetos e arquivos importantes não devem depender de um único dispositivo ou serviço.
Backups atualizados e testados facilitam a recuperação em situações de perda, falha ou ataque.
Se ainda não mantém cópias de segurança, veja o tutorial de backup pessoal para fotos e documentos.
Você tem um site ou WordPress? O que fazer agora
Para administradores de blogs, sites institucionais, lojas virtuais e aplicações web, o problema exige uma resposta mais direta.
O WordPress utiliza PHP em seu funcionamento. Por isso, mesmo que o painel do WordPress, os plugins e o tema estejam atualizados, a instalação pode continuar exposta caso a versão do PHP do servidor não tenha recebido a correção necessária.
O próprio WordPress orienta que a versão do PHP seja verificada e atualizada junto à empresa de hospedagem.
Passo 1 — Descubra qual versão do PHP seu site utiliza
No WordPress, o caminho documentado é:
- Acesse o painel administrativo.
- Entre em Ferramentas → Diagnóstico.
- Abra a aba Informações.
- Expanda a seção Servidor.
- Localize o campo que informa a versão do PHP.
Esse caminho permite identificar a versão executada pelo site, sem precisar criar arquivos públicos para consultar a configuração do servidor.
Passo 2 — Compare com as versões corrigidas
O projeto PHP disponibilizou em 21 de outubro as seguintes versões com correções para as duas vulnerabilidades críticas:
| Linha do PHP | Versão corrigida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Fonte: projeto PHP, comunicado de segurança de 21/10/2026.
Versões anteriores às indicadas, dentro de cada linha, exigem verificação e correção.
Há uma ressalva técnica: alguns fornecedores aplicam atualizações de segurança retroativas (backports) sem alterar o número principal da versão. Nesses ambientes, a confirmação deve ser feita com o fornecedor do sistema ou da hospedagem.
O PHP 8.1 e as versões anteriores já não recebem atualizações regulares do projeto PHP, embora fornecedores específicos possam disponibilizar correções próprias.
Passo 3 — Atualize o PHP pela hospedagem
Em hospedagens com painel de controle, normalmente é possível consultar ou solicitar a atualização do PHP.
Na Hostinger, por exemplo, a documentação orienta acessar a área de gerenciamento do site e localizar Configuração PHP. Nessa página, o usuário pode selecionar a versão disponível e aplicar a alteração.
A Hostinger informa também que, dependendo do plano, uma mudança pode afetar outros sites hospedados na mesma conta.
Antes de alterar a versão:
- Faça backup completo dos arquivos e do banco de dados.
- Verifique se o WordPress, os plugins e os temas são compatíveis.
- Confirme que a versão disponibilizada pela hospedagem contém as correções.
- Quando possível, teste a mudança em ambiente de homologação.
- Confira as funcionalidades do site depois da atualização.
Atenção: não selecione uma versão apenas porque o primeiro número parece recente. É necessário confirmar a versão exata ou a aplicação comprovada da correção pelo fornecedor.
Passo 4 — Não confunda atualizar WordPress com corrigir PHP
Essa é uma das distinções mais importantes do episódio.
Atualizar o WordPress melhora a proteção da aplicação, mas não equivale automaticamente a atualizar o interpretador PHP utilizado pelo servidor.
Da mesma forma, instalar um plugin de segurança não remove uma vulnerabilidade existente no núcleo do PHP.
Firewalls de aplicação web, bloqueios de requisições e sistemas de monitoramento podem ajudar a reduzir determinadas exposições, mas o próprio projeto PHP afirma que somente a atualização corrige completamente as duas falhas críticas.
Passo 5 — Se a atualização não estiver disponível, procure a hospedagem
O CERT-EU recomenda isolar serviços expostos à internet quando não for possível aplicar imediatamente uma correção.
Isso pode significar restringir o acesso a uma aplicação ou, em casos mais graves, suspender temporariamente o serviço enquanto a equipe responsável resolve o problema.
Não é necessário retirar um site do ar indiscriminadamente. A decisão depende da versão, da exposição, das correções disponíveis e da avaliação técnica.
Para quem utiliza hospedagem compartilhada e não administra o servidor, o caminho mais seguro é solicitar confirmação formal da atualização à empresa responsável.
E se o site já tiver sido invadido?
Aplicar a correção é indispensável, mas uma atualização não garante que eventuais modificações feitas anteriormente por um invasor tenham sido eliminadas.
Caso existam sinais de comprometimento, a investigação deve incluir registros de acesso, alterações inesperadas de arquivos, contas administrativas desconhecidas e atividades anormais.
Também pode ser necessário revogar credenciais, investigar acessos indevidos, restaurar arquivos íntegros e avaliar quais dados foram expostos.
A resposta deve ser conduzida pela equipe técnica ou pelo provedor responsável, preservando evidências antes de alterações destrutivas.
A inteligência artificial está acelerando os ataques?
O episódio também expôs uma transformação na pesquisa de segurança.
Pesquisadores da Wiz e equipes associadas ao Google utilizaram ferramentas de inteligência artificial para investigar as vulnerabilidades, desenvolver formas de identificação e apoiar a validação das correções.
Segundo o Google Cloud, sistemas de IA contribuíram para diferentes etapas da pesquisa sobre o problema.
Isso mostra uma relação de duas faces.
A inteligência artificial pode ajudar equipes de segurança a identificar falhas difíceis de encontrar manualmente, examinar grandes quantidades de código e testar correções.
Por outro lado, ferramentas semelhantes podem ser utilizadas por atacantes para acelerar a identificação de oportunidades de exploração.
A consequência possível é a redução do intervalo entre a descoberta pública de uma falha e as primeiras tentativas de ataque.
Esse cenário reforça a necessidade de atualizações rápidas, inventários de software, monitoramento e processos organizados de resposta a incidentes.
O desafio não é impedir que a IA encontre vulnerabilidades. É aumentar a capacidade de corrigi-las antes que sejam exploradas.
O que isso muda na prática para o Brasil?
O alerta não é apenas uma preocupação de empresas estrangeiras.
Em 21 de outubro de 2026, o Centro Integrado de Segurança Cibernética do Governo Digital publicou orientações sobre as duas vulnerabilidades, direcionadas especialmente aos órgãos públicos federais que utilizam PHP em aplicações e serviços web.
O documento recomenda identificar instalações afetadas, atualizar versões vulneráveis e intensificar o monitoramento dos ambientes.
Essas medidas também são relevantes, como orientação técnica geral, para escolas, pequenas empresas, organizações sociais, portais de notícias e comerciantes brasileiros que utilizam aplicações desenvolvidas em PHP.
Considere uma escola que mantém um portal para divulgação de comunicados, inscrições e documentos.
Se o servidor desse portal estiver vulnerável, a correção precisa ser realizada por quem administra a hospedagem. Professores, estudantes e familiares não conseguem corrigir o problema atualizando seus próprios celulares.
Já os usuários podem reduzir riscos indiretos verificando se mensagens sobre cadastros, pagamentos ou mudanças de endereço realmente vieram da instituição.
O mesmo raciocínio vale para pequenas lojas virtuais: atualizar a infraestrutura é responsabilidade de quem opera o serviço; reconhecer comunicações suspeitas e proteger credenciais são cuidados complementares dos consumidores.
Atualização de 23 de outubro: um novo aviso do PHP
Além das duas falhas críticas corrigidas em 21 de outubro, o projeto PHP publicou, nesta sexta-feira, 23 de outubro, um comunicado informativo sobre uma possibilidade adicional e incomum de execução remota de código.
O problema depende de uma combinação específica de configurações e alterações no mecanismo de sessão da aplicação. A equipe anunciou que pretende publicar uma correção no ciclo regular de atualizações, associada à CVE-2026-115560.
Como precaução, o projeto sugeriu temporariamente desabilitar session.upload_progress.enabled nos ambientes pertinentes, até a próxima atualização.
A recomendação é destinada a administradores capazes de avaliar as configurações da aplicação e não deve ser confundida com uma instrução para usuários comuns.
O comunicado também deixa claro que essa condição é considerada improvável em configurações usuais.
Checklist: o que fazer hoje para reduzir os riscos
A resposta deve começar pelo tipo de acesso que você possui.
| Sua situação | Ação prioritária |
|---|---|
| Usa internet no celular ou computador | Mantenha sistemas atualizados e atenção a comunicações suspeitas |
| Usa contas bancárias e serviços online | Ative autenticação em dois fatores e acompanhe alertas oficiais |
| Administra um blog WordPress | Verifique a versão do PHP e confirme a correção na hospedagem |
| Administra uma loja virtual | Priorize a atualização, proteja dados e verifique sinais de incidente |
| É responsável por servidores | Identifique instalações afetadas, aplique correções e monitore eventos suspeitos |
As recomendações combinam as orientações específicas do projeto PHP com práticas gerais de segurança divulgadas pela CISA e pelo CERT.br.
Perguntas frequentes sobre o apocalipse da internet e o PHP2Shell
A internet pode parar de funcionar por causa dessas falhas?
Não há evidência de que as vulnerabilidades PHP2Shell provoquem o desligamento completo da internet. Elas podem comprometer servidores e causar indisponibilidade em determinados sites e serviços.
Todos os sites WordPress foram afetados?
Não é correto afirmar isso. O WordPress utiliza PHP, mas a exposição depende da versão e das correções presentes no servidor. Utilizar WordPress não significa, automaticamente, ter sofrido uma invasão.
Preciso parar de usar sites e aplicativos?
Não há recomendação geral para abandonar a navegação na internet. O importante é acompanhar comunicados dos serviços utilizados e evitar ações suspeitas. Administradores de sistemas vulneráveis devem aplicar as correções.
Preciso trocar todas as minhas senhas?
Não apenas por causa da divulgação das falhas. Se um serviço informar comprometimento de credenciais, ou se você detectar atividade suspeita na conta, siga as orientações de recuperação e altere as senhas relevantes.
Meu antivírus protege contra o PHP2Shell?
O antivírus pode ajudar a proteger o dispositivo contra determinadas ameaças, mas não corrige uma vulnerabilidade do PHP instalada no servidor de um site.
Instalar um plugin de segurança no WordPress resolve?
Não. Plugins podem oferecer camadas adicionais de proteção, mas as falhas PHP2Shell exigem correção no próprio PHP ou no pacote fornecido pela distribuição ou hospedagem.
Como saber se um site já recebeu a correção?
Se você administra o site, consulte a versão do PHP e confirme com a hospedagem se os patches foram aplicados. Se é apenas visitante, normalmente não existe uma forma confiável de confirmar essa informação apenas observando a página.
Essa crise tem relação com computadores quânticos?
Não. O PHP2Shell envolve falhas de gerenciamento de memória no PHP, e não a quebra de sistemas criptográficos por computadores quânticos.
Fontes oficiais e referências
As informações sobre as falhas PHP2Shell foram verificadas em comunicados técnicos, alertas de cibersegurança e documentação oficial. Abra cada seção para conhecer as fontes utilizadas nesta reportagem.
Comunicados oficiais do PHP
Confirma as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, as versões corrigidas e as recomendações de atualização.
Consultar comunicado oficial ↗Esclarece a condição adicional e incomum relacionada às configurações de sessão do PHP e às medidas preventivas.
Consultar atualização oficial ↗Alertas e pesquisa em cibersegurança
Comunicado do Centro Integrado de Segurança Cibernética sobre as duas vulnerabilidades críticas do PHP.
Consultar alerta do governo ↗Detalha as versões afetadas, a gravidade das falhas e as medidas recomendadas aos administradores.
Consultar alerta técnico ↗Apresenta a descoberta das falhas, a participação de ferramentas de IA na pesquisa e orientações de resposta.
Ler análise do Google Cloud ↗Guias para proteção e atualização
Explica como verificar a versão do PHP, preparar a atualização e reduzir problemas de compatibilidade.
Acessar documentação WordPress ↗Oferece orientações sobre autenticação, senhas, backups, golpes digitais e proteção de informações pessoais.
Acessar cartilha de segurança ↗Fontes consultadas em 23/10/2026. Os documentos externos podem receber atualizações após a publicação desta reportagem.
Conclusão: o maior risco é deixar sistemas vulneráveis sem correção
As falhas PHP2Shell representam um problema sério de cibersegurança, mas não justificam concluir que toda a internet esteja comprometida.
O episódio revela algo mais importante: tecnologias amplamente utilizadas podem carregar vulnerabilidades críticas durante anos, e a velocidade das descobertas exige respostas cada vez mais rápidas.
Para quem apenas utiliza serviços digitais, a recomendação é manter boas práticas de proteção e acompanhar alertas confiáveis.
Para quem administra um site, a prioridade é outra: confirmar que o servidor recebeu as correções necessárias e não tratar atualizações de segurança como uma tarefa secundária.
Se você quer fortalecer sua proteção no dia a dia, continue pelo guia de Segurança Digital para Iniciantes do TecMaker, que reúne orientações sobre senhas, autenticação, golpes, backups e privacidade.
Acompanhe também o TecMaker para receber explicações verificadas sobre as tecnologias e os acontecimentos que afetam a segurança da nossa vida digital.
A Equipe TecMaker é o núcleo editorial e de testes do portal, dedicada a trazer análises imparciais, comparativos de produtos e as últimas notícias do universo da tecnologia. Nosso objetivo é decodificar a inovação e ajudar nossos leitores a fazerem as melhores escolhas no mercado digital e de dispositivos emergentes.
