Falhas do PHP de outubro de 2026: sem pânico, veja o que verificar

Se nos últimos dias você se deparou com as palavras "PHP2Shell", "falha crítica" ou "atualização urgente", talvez tenha se perguntado se o seu site estava em perigo. Para a grande maioria de vocês, a resposta cabe em uma frase: seu provedor de hospedagem cuida disso, e basta você verificar se isso foi feito.

Veja, sem jargão desnecessário, o que aconteceu, o que isso muda para um site criado com o WebAcappella Fusion e as poucas verificações que vão deixar você tranquilo.

O que aconteceu

O PHP é a linguagem que faz funcionar, no lado do servidor, grande parte dos sites: WordPress, Joomla, muitas lojas virtuais… e as funções dinâmicas dos sites WebAcappella, como o formulário de contato, a loja ou as páginas de acesso restrito.

Em 21 de outubro de 2026, a equipe que desenvolve o PHP publicou versões corrigidas para duas falhas de segurança (referências CVE-2026-109618 e CVE-2026-109619, apelidadas de "PHP2Shell"). Elas são consideradas sérias, com nota 9,2 de 10, pois poderiam permitir que um invasor fizesse um servidor executar suas próprias instruções, sem precisar de senha.

Se o anúncio pareceu tão repentino, é porque informações haviam vazado na véspera: o PHP então antecipou em um dia o lançamento da correção. Especialistas em segurança relataram as primeiras tentativas de ataque, outros ainda não as observavam: é por isso que os provedores de hospedagem agiram rápido. As versões corrigidas são as seguintes:

• PHP 8.5: versão 8.5.12
• PHP 8.4: versão 8.4.27
• PHP 8.3: versão 8.3.36
• PHP 8.2: versão 8.2.35
• PHP 8.1 e anteriores: não são mais mantidas pela equipe do PHP. Só estão corrigidas se o seu provedor de hospedagem adaptou a correção por conta própria.

Seu site WebAcappella é afetado?

Essas falhas estão no próprio PHP, ou seja, no software instalado no servidor do seu provedor de hospedagem. Elas não estão no WebAcappella Fusion, nem no seu projeto, nem no conteúdo do seu site. Elas afetam todos os sites hospedados em um servidor com o PHP ativo, qualquer que seja a ferramenta usada para criá-los.

Um site publicado com o WebAcappella sempre contém alguns arquivos PHP, mesmo sem formulário nem loja. Portanto, não adianta tentar saber se o seu site "usa" PHP: a única pergunta útil é saber se o servidor que o hospeda foi atualizado.

Hospedagem compartilhada: seu provedor faz o trabalho

A maioria dos sites WebAcappella está instalada em uma hospedagem compartilhada. Nesse caso, o PHP é mantido pelo provedor de hospedagem, não por você: é ele quem instala a correção em seus servidores.

A o2switch, por exemplo, anunciou a implantação das correções em todos os seus servidores, aplicadas automaticamente a cada versão do PHP, informando aos clientes que nenhuma ação era necessária da parte deles.

Três verificações para ficar tranquilo

1. Consulte os anúncios do seu provedor de hospedagem. Página de status dos serviços, blog, redes sociais ou e-mail aos clientes: a maioria se comunicou sobre o assunto. Se o anúncio indicar que a correção foi aplicada, você não precisa fazer mais nada em relação a essas falhas.
2. Verifique a versão do PHP do seu site. Ela é indicada na área do cliente do seu provedor de hospedagem, muitas vezes em uma seção "Versão do PHP" ou "Configuração do PHP". O WebAcappella Fusion exige no mínimo o PHP 8.1. Se o seu site ainda roda na 8.1 ou em uma versão mais antiga, aproveite para migrar para o PHP 8.3 ou 8.4, duas versões ainda mantidas. Já o PHP 8.2 não será mais mantido após 31 de dezembro de 2026: melhor se antecipar.
3. Em caso de dúvida, pergunte ao seu provedor de hospedagem. Uma simples mensagem ao suporte basta; veja um modelo para adaptar.

Se você mudar de versão do PHP, faça um pequeno teste em seguida: envie uma mensagem para si mesmo pelo formulário de contato do seu site e, se tiver uma loja, navegue por ela até a página de pagamento. Se o seu site não é republicado há muito tempo, republique-o primeiro com uma versão recente do WebAcappella Fusion, compatível com o PHP 8.1 a 8.5: assim, os arquivos de servidor do seu site estarão atualizados. E se algo der errado, volte para a versão anterior enquanto entra em contato conosco.

Você gerencia seu próprio servidor (VPS ou dedicado)?

Se você aluga um servidor virtual (VPS) ou dedicado e o administra por conta própria, a atualização é sua responsabilidade: instale a versão corrigida do PHP, ou os pacotes atualizados pela sua distribuição, e depois reinicie os serviços PHP (PHP-FPM ou Apache) para que ela seja aplicada. A OVHcloud publicou um guia passo a passo (em inglês), útil qualquer que seja o seu fornecedor.

O que não adianta fazer

• Mexer na configuração do PHP do seu site (arquivo .user.ini, por exemplo). O PHP esclarece que esse tipo de configuração não protege contra essas falhas: a correção é feita no nível do servidor.
• Baixar um "script de teste" ou uma "correção" encontrada na internet. Códigos de ataque estão circulando, e pesquisadores de segurança alertam que alguns podem conter malware.
• Responder a um e-mail alarmista. Notícias de segurança muito divulgadas sempre atraem mensagens fraudulentas do tipo "seu site está vulnerável, clique aqui". Em caso de dúvida, acesse a área do cliente do seu provedor de hospedagem, nunca por um link recebido.
• Atualizar o WebAcappella Fusion às pressas. A falha não está no Fusion: nenhuma atualização do software é necessária para corrigi-la, e seu projeto não precisa ser modificado.

Uma vantagem dos sites WebAcappella: o original fica com você

Um site criado com o WebAcappella Fusion tem uma particularidade tranquilizadora: seu original não fica no servidor, mas no seu projeto, no seu computador. O site online é apenas uma cópia publicada. Se um dia você notar algo anormal (uma página modificada, um redirecionamento inesperado), entre em contato com seu provedor de hospedagem para que ele examine o servidor: já suas páginas podem ser republicadas a partir do seu projeto.

Única exceção: se você tem uma loja, os pedidos e as contas de clientes ficam registrados no servidor. Para esses dados, são os backups do seu provedor de hospedagem que entram em ação, e é útil saber com que frequência são feitos.

Em resumo

• Duas falhas sérias foram corrigidas no PHP em 21 de outubro de 2026. Elas afetam o servidor, não o WebAcappella Fusion nem o seu projeto.
• Em uma hospedagem compartilhada, é o seu provedor quem aplica a correção: basta verificar o anúncio dele.
• Aproveite para conferir sua versão do PHP: 8.3 ou 8.4 são boas escolhas; a 8.1 e as versões mais antigas não são mais mantidas.
• Em um VPS ou servidor dedicado, atualize o PHP e reinicie os serviços PHP.
• Nada de gambiarras nem scripts encontrados na internet: a atualização do servidor é a única correção real.

Falhas desse tipo fazem parte da vida normal da web: são descobertas, corrigidas e depois implantadas. O importante é que a correção chegue rápido ao seu servidor e, desta vez, os provedores de hospedagem reagiram assim que ela foi publicada.

Fontes

• php.net: anúncio oficial de 21 de outubro de 2026 e configurações temporárias (em inglês)
• CVE-2026-109618 e CVE-2026-109619: avisos de segurança detalhados do PHP (em inglês)
• OVHcloud: guia para servidores VPS e dedicados (em inglês)