Atualizado em 21 de outubro de 2026.
O PHP publicou nesta quarta-feira, 21 de outubro de 2026, correções de emergência para duas falhas críticas no PHP: a CVE-2026-109618 e a CVE-2026-109619, ambas com nota 9,2 de 10 na escala CVSS. Elas permitem executar código no servidor sem login — ou seja, invadir o site.
Como o WordPress roda sobre o PHP, sites em WordPress estão entre os afetados. A correção já existe e é simples: atualizar o PHP do servidor. Veja abaixo o que aconteceu, quem precisa agir e como proteger o seu site.
O que é a falha crítica no PHP
O PHP é a linguagem que roda por trás da maior parte dos sites da internet, inclusive todos os sites em WordPress. As duas vulnerabilidades estão no próprio interpretador do PHP — e não em um plugin ou tema:
- CVE-2026-109618: falha no tratamento de memória que pode ser explorada para executar código remotamente.
- CVE-2026-109619: dados de uma requisição sobrevivem à memória que os guardava e podem ser reaproveitados por um atacante.
Segundo o comunicado oficial do PHP, são afetadas todas as instalações de PHP que atendem requisições web — com PHP-FPM, Apache com mod_php, LiteSpeed e outras configurações comuns em hospedagens. Pesquisadores que analisaram as falhas apontam que versões antigas, desde o PHP 5.4, também são vulneráveis a pelo menos uma delas.
Sites em WordPress estão em risco?
Sim. Como a falha está no PHP, atualizar o WordPress ou os plugins não resolve. A correção precisa ser feita no servidor, na versão do PHP em que o site roda.
E o risco não é teórico: empresas de segurança já registraram tentativas de ataque logo após o anúncio. A Patchstack, referência em segurança de WordPress, relata invasões em sites que usam o UpdraftCentral, com a instalação de acessos ocultos (backdoors) a partir das chaves de conexão do plugin.
Quais versões do PHP corrigem a falha
O PHP lançou atualizações para todas as versões com suporte. O site está protegido quando roda uma destas versões, ou mais recentes:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35 — o PHP 8.2 deixa de receber atualizações em 31 de dezembro de 2026.
Sites em PHP 8.1 ou anterior não recebem mais correções oficiais; o caminho seguro é migrar para uma versão com suporte. O próprio PHP é claro: medidas paliativas reduzem a exposição, mas só a atualização resolve por completo.
Como saber a versão do PHP do seu site
No painel do WordPress, acesse Ferramentas → Saúde do site → Informações → Servidor: a versão do PHP aparece logo no início. Também é possível consultar no painel da hospedagem ou pedir a informação ao suporte do provedor.
Como proteger seu site WordPress agora
- Atualize o PHP para uma das versões corrigidas, pelo painel da hospedagem ou com o suporte do provedor.
- Se usa o UpdraftCentral, apague as chaves de conexão do plugin.
- Evite "plugins de correção" e trechos de código copiados da internet: a solução é a atualização do PHP.
- Fique atento a sinais de ataque, como erros 500 inesperados, picos de erros de memória ou alterações no site que ninguém fez.
O que a Inundaweb já está fazendo
Desde o anúncio, nossa equipe está aplicando as correções necessárias nos sites que mantemos:
- Levantamento: conferimos a versão de PHP de cada site sob nossos contratos de suporte e sustentação.
- Atualização: estamos atualizando o PHP para as versões corrigidas, junto aos provedores de hospedagem.
- Versões antigas: sites em PHP 8.1 ou anterior estão sendo migrados para uma versão com suporte, com testes antes da troca.
- UpdraftCentral: onde o plugin está em uso, as chaves de conexão estão sendo removidas.
- Monitoramento: acompanhamos os sinais de tentativa de ataque nos registros dos servidores.
Se o seu site faz parte de um dos nossos contratos de suporte para WordPress, você não precisa fazer nada: a atualização está sendo feita pela nossa equipe, e entraremos em contato se algum ponto depender de você.
Se o seu site não é atendido pela Inundaweb, nós ajudamos: fazemos o diagnóstico e aplicamos a atualização. É só falar com a gente ou chamar no WhatsApp.
Perguntas frequentes
Atualizar o WordPress resolve a falha do PHP?
Não. A falha está no PHP do servidor, não no WordPress nem nos plugins. É preciso atualizar o PHP para a versão 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, conforme a versão em uso.
O que é a CVE-2026-109618?
É uma das duas falhas críticas no PHP divulgadas em 21 de outubro de 2026, com nota 9,2 de 10. Ela permite que um atacante execute código no servidor sem login, explorando o tratamento de memória do PHP.
Meu site em PHP 8.1 está protegido?
Não. O PHP 8.1 e as versões anteriores não recebem mais correções oficiais. O caminho seguro é migrar para uma versão com suporte, como o PHP 8.4 ou 8.5.
Como saber se o meu site foi invadido?
Sinais comuns são erros 500 inesperados, picos de erros de memória, arquivos ou usuários que ninguém criou e alterações no conteúdo do site. Se notar algo assim, trate o servidor como comprometido e troque as senhas de acesso.