Descrição: Entenda PHP, ferramentas do navegador, diferenças entre autenticação e invasão do servidor, prioridade e correção.
A internet vai cair em horário marcado?
O horário de 21 de outubro de 2026, às 14h UTC (11h em Brasília), não era o início do fim da internet: era a hora prevista para os consertos do PHP. As versões corrigidas já foram lançadas. Quem administra sites deve aplicá-las e verificar o resultado.
Atualizar apenas o WordPress ou trocar a senha do painel não substitui a correção no PHP do servidor. Quem só visita páginas precisa principalmente desconfiar de e-mails que usam a notícia para exigir verificações urgentes.
Para que serve o PHP? Pense nos bastidores de uma loja
PHP é uma linguagem executada no servidor. Quando alguém clica em Comprar, o site pode usar PHP para conferir a sessão, consultar estoque e preço, registrar o pedido e devolver a resposta. WordPress, lojas e portais corporativos usam PHP; pagamentos podem passar por outros serviços. PHP é o funcionário do estoque que o cliente não vê.
Apertar F12 revela PHP?
As ferramentas do navegador mostram HTML (estrutura), CSS (aparência) e JavaScript (interações). PHP roda antes, no servidor, e o navegador geralmente recebe apenas o resultado. O prato aparece, mas a receita fica na cozinha.
No Chrome: F12 → Network → atualizar a página → documento principal → Headers. X-Powered-By: PHP/... ou uma URL terminada em .php pode ser pista, mas esses sinais podem estar escondidos. F12 sozinho não prova a existência ou ausência da falha.
| Tecnologia | Função |
|---|---|
| HTML / CSS | Estrutura / aparência |
| JavaScript | Interação no navegador e também no servidor |
| PHP | Processos no servidor e acesso a dados |
| Python / Java / Go | Outras linguagens de aplicações |
| SQL | Consultar e alterar dados em bancos |
| P2P | Modelo de comunicação entre aparelhos, não linguagem |
SQL pode ser usado dentro de um programa PHP; não substitui PHP.
O que foi realmente confirmado?
Situação oficial em 22 de outubro de 2026: o PHP publicou correções para duas vulnerabilidades com pontuação 9,2/10 em CVSS v4.0 cada. Isso mede gravidade, não uma chance de invasão de 92%.
| Linha do PHP | Versão corrigida |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618 envolve uma falha no tratamento de falta de memória; CVE-2026-109619 envolve o uso indevido de estado interno deixado por requisições anteriores. Em certas condições, ambas permitem execução remota de código sem autenticação. No Apache mod_php, um ataque já foi demonstrado antes da execução do código da aplicação. PHP-FPM e outros ambientes também exigem atualização.
O projeto PHP não dá mais suporte regular às versões 8.1 e anteriores. Fornecedores de sistemas e de manutenção prolongada podem aplicar correções aos pacotes antigos; o projeto também publicou patches excepcionais de código-fonte para 7.4, 8.0 e 8.1. Confira os avisos do fornecedor, não apenas o número da versão. O suporte ao PHP 8.2 termina em 31 de dezembro de 2026.
A parte inesperada: indícios do primeiro problema já tinham aparecido em 2024. A PHP Foundation reconheceu atrasos devido à complexidade da solução e à falta de recursos. Uma demonstração de exploração não significa que todos os sites tenham sido invadidos. Na divulgação pública, a fundação não identificou ataques funcionais nos exemplos que circulavam, mas isso não garante segurança depois da publicação.
Burlar o login é diferente de executar comandos no servidor
Burlar o login significa passar indevidamente por uma verificação de identidade. Execução remota de código (RCE) significa fazer o servidor executar comandos não autorizados. O PHP confirmou que os dois problemas podem causar RCE sem login, sob condições específicas.
No Apache mod_php, a primeira falha foi demonstrada antes que o código da aplicação começasse a rodar. Há riscos também no PHP-FPM, dependendo do aplicativo. O impacto depende das permissões do processo, dos bancos de dados e das conexões disponíveis; não é prova de que todos os sites tiveram vazamento.
Onde a urgência é maior?
| Situação | Prioridade | Por quê e o que fazer |
|---|---|---|
| Público + sem correção + muitos dados pessoais | Máxima | Acesso externo e dano potencial grande: corrigir, restringir acesso e preservar registros |
| Público + sem correção + acesso ao banco interno | Máxima | Porta de entrada para dados internos: limitar privilégios e atualizar |
| Público + sem correção + poucos dados | Alta | Ainda pode haver alteração de páginas ou ataques a outros sistemas: corrigir |
| Só rede interna + sem correção + dados importantes | Alta | Equipamento comprometido ou VPN pode alcançar o serviço: atualizar e conferir acessos |
| Só rede interna + sem correção + poucos dados | Média-alta | Possibilidade de avançar na rede: isolar e atualizar |
| Corrigido + dados importantes | Investigar | Verificar se houve invasão antes do conserto |
| Sem PHP confirmado | Sem impacto direto | Conferir sistemas auxiliares |
Quanto maior a exposição, os privilégios do PHP, o acesso a outros bancos e a importância dos dados, maior a pressa. Rede interna não é campo de força.
Como descobrir se seu site está na lista
Confira nesta ordem: onde PHP está rodando → versão realmente usada pela web → versões afetadas segundo o fornecedor → correção efetivamente instalada.
No WordPress abra Ferramentas → Diagnóstico/Saúde do site → Informações → Servidor. Atualizar plugins não necessariamente atualiza PHP. Consulte o aviso da hospedagem. Em servidor próprio, php -v mostra a versão do terminal, possivelmente diferente da usada pelo site. Confira PHP-FPM, contêineres e pacotes do sistema. Faça testes apenas em ambientes que você administra.
Atualizar o WordPress resolve tudo?
As versões PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 já estão disponíveis. Atualizar o PHP é diferente de atualizar o WordPress.
Atualizações do WordPress e dos plugins não são, necessariamente, atualizações do PHP no servidor. No painel, veja Ferramentas → Diagnóstico → Informações → Servidor, ou os nomes equivalentes na sua instalação. Em hospedagem gerenciada, consulte os comunicados do provedor. Em servidor próprio, identifique as instalações de PHP, prepare backup, reversão e um responsável técnico.
Com o lançamento já realizado, compare as versões afetadas, siga o procedimento oficial e teste login, publicações e formulários. Mexer em configurações de produção no escuro é uma aposta cara.
Passos antes, durante e depois da atualização
As versões PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 já estão disponíveis. Atualizar o PHP é diferente de atualizar o WordPress.
Liste os sistemas PHP, responsáveis e cópias de segurança que realmente possam ser restauradas. Agora que a correção saiu, siga as instruções do PHP ou do fornecedor, atualize o ambiente que atende a web, reinicie os serviços necessários e verifique a versão. Teste login, publicações, formulários, compras e integrações.
Se a atualização atrasar, restrinja o acesso externo e os privilégios dos bancos; um firewall de aplicação pode ajudar, sem substituir a correção. Mudar só uma opção de upload não garante proteção contra as duas falhas. Se o dano potencial for grande, considere suspensão ou isolamento temporário.
Se houver suspeita de invasão, preserve logs e evidências, investigue contas, arquivos e conexões anormais e acione especialistas. Consertar a fechadura não devolve os dados que já foram roubados. IA pode acelerar ataques em massa, mas uma notícia de vulnerabilidade não é prova de vazamento generalizado.
E se meu site não usa PHP?
Um site estático ou serviço JavaScript/TypeScript sem executar PHP não é diretamente atingido por uma vulnerabilidade do próprio PHP. Ainda assim, ferramentas administrativas, prestadores e equipamentos podem usar PHP. Ter Cloudflare na frente não prova que o servidor original foi atualizado.
Vale responder: onde o PHP roda, quem atualiza e como os testes serão feitos?
Quem só visita sites precisa fazer algo?
Você não consegue corrigir servidores de terceiros. Mensagens inesperadas de “verificação urgente” devem ser conferidas acessando diretamente o app ou site oficial, sem clicar em links suspeitos.
Dúvidas frequentes
Trocar PHP por Python resolve? Refazer o site é uma decisão maior. O primeiro passo costuma ser instalar a correção certa.
Todo mundo precisa trocar senha? Não apenas por causa do aviso. Se houver comunicação real de vazamento, use o site oficial.
Cloudflare substitui a atualização? Não. Proteção na frente não garante PHP corrigido na origem.
Nota 9,2 significa 92% de chance de invasão? Não, é gravidade, não probabilidade.
A internet vai explodir às 11h?
O horário anunciado não era uma explosão da internet, mas a entrega das peças para consertar a fechadura. As peças chegaram. Agora é preciso atualizar o PHP que realmente atende o site, testar as funções e investigar indícios de invasão quando necessário. Atualizar só o WordPress é trocar a placa da loja e deixar a fechadura quebrada. Atualizado em 21 de outubro de 2026, às 16h26 UTC.
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
