Segurança do PHP: correções críticas e atualização segura

Confira o PHP que realmente atende seu site, não apenas o WordPress, uma opção no painel ou a versão da linha de comando. Aplique a correção adequada e verifique o serviço em execução e as funções usadas pelos visitantes.

Identifique a correção da série do PHP em uso

Essas são as primeiras versões que corrigem as duas falhas, não uma recomendação para permanecer nelas indefinidamente. Aplique também as atualizações de segurança posteriores. Se o fornecedor do sistema operacional ou da hospedagem incorporar a correção por backport, peça o comunicado do pacote e a confirmação de que ambas as CVEs foram tratadas.

O aviso oficial abrange instalações que atendem requisições web, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco demonstrado é especialmente elevado em mod_php, mas os demais ambientes também precisam de avaliação. Séries antigas sem suporte exigem migração ou uma correção específica documentada pelo fornecedor; um patch excepcional de código-fonte não renova o suporte oficial.

Fontes: comunicado de segurança do PHP, aviso da CVE-2026-109618 e aviso da CVE-2026-109619.

Localize o PHP que processa cada site

1. Confira as informações do servidor no próprio site. No WordPress, abra a tela de diagnóstico ou saúde do site em Ferramentas, consulte as informações e procure a seção Servidor e a versão do PHP. Os nomes variam conforme a tradução e o painel da hospedagem.
2. Relacione domínio e modo de execução. Pergunte à hospedagem qual pacote e qual handler de PHP atendem ao domínio, incluindo pools, subdomínios e ambientes de teste separados. Um servidor pode ter várias versões instaladas.
3. Confira as tarefas em segundo plano. Tarefas agendadas, filas e scripts de linha de comando podem usar outro executável. A versão exibida no terminal não comprova qual PHP atende à web.
4. Confirme a correção e sua ativação. Obtenha a versão ou pacote corrigido, o resultado da instalação e a reinicialização necessária dos processos. Peça ao administrador que verifique o uso do ambiente atualizado nas novas requisições.

Não deixe uma página pública de phpinfo(): ela pode expor configurações. Use um diagnóstico autenticado, as ferramentas da hospedagem ou uma verificação controlada, removida ao terminar. Não publique arquivos de configuração, variáveis de ambiente ou segredos em fóruns de suporte.

Perguntas para enviar à hospedagem

Qual ambiente de execução, origem do pacote e handler de PHP atendem a este domínio? As CVE-2026-109618 e CVE-2026-109619 foram corrigidas, inclusive por backport do fornecedor? Quando a correção foi ativada e os processos pertinentes foram reiniciados? Confira também subdomínios, ambientes de teste, tarefas agendadas e instalações antigas, e informe os resultados dos testes das funções normais.

Separe a correção de hoje do plano de migração

Uma série com suporte pode passar a receber somente correções de segurança. Planeje a migração antes do fim desse prazo, em vez de esperar pelo próximo aviso crítico.

O suporte do projeto PHP é diferente de um contrato comercial de manutenção do distribuidor. Confira o pacote e o contrato exatos. A versão mínima compatível com um CMS não comprova que a série seja segura ou continue recebendo suporte. Guias antigos de preparação ainda podem mencionar o PHP 7.4, que já não tem suporte do projeto PHP. Consulte a tabela atual de suporte e o comunicado de segurança do fornecedor ao escolher a versão.

Fonte: versões do PHP com suporte.

Atualize com um plano de recuperação e testes reais

Teste também a publicidade e os componentes de consentimento, quando fizerem parte do serviço. Abrir uma página não comprova que pagamentos, mensagens e tarefas em segundo plano funcionem. Registre o pacote ou versão, o horário, os resultados e o responsável.

Se uma correção urgente causar incompatibilidade, combine a contenção e uma recuperação com suporte com a hospedagem ou a equipe de desenvolvimento. Não volte silenciosamente a expor um serviço com vulnerabilidade conhecida. O plano de reversão precisa considerar tanto a segurança quanto a disponibilidade.

Regra de WAF e versão oculta não substituem a correção

O WAF pode bloquear algumas requisições, mas não corrige o PHP nem remove um invasor já presente. Mudar a exibição de erros, ocultar a versão ou usar muitos processos também não comprova que essas falhas estejam corrigidas.

Algumas medidas provisórias oficiais envolvem controles de recursos e comportamento dos processos. Não copie uma alteração de limite de memória ou um comando de reinicialização para produção sem entender os efeitos. Se não puder aplicar a correção rapidamente, peça ao administrador que avalie restrição de acesso, suspensão temporária ou migração, com plano e prazo definidos.

Corrigir o PHP não encerra uma investigação de invasão

Se encontrar administradores desconhecidos, redirecionamentos inesperados, arquivos modificados ou tráfego de saída suspeito, preserve registros e evidências e acione a hospedagem ou a equipe de resposta. É necessário avaliar contas, tokens, formas de persistência, arquivos e dados afetados, além do PHP.

Não exclua arquivos suspeitos em massa nem sobrescreva a única evidência com uma restauração. A reabertura exige contenção, reconstrução ou restauração confiável, fechamento da entrada e medidas adequadas sobre credenciais e sessões. Consulte as etapas de resposta a incidentes.

Dúvidas frequentes sobre segurança do PHP

Atualizar o WordPress também atualiza o PHP?

Em geral, não. WordPress, temas e plugins são componentes da aplicação. A hospedagem ou o administrador cuida separadamente do PHP.

Um site estático precisa dessa verificação?

Um site que nunca executa PHP é diferente de um site aparentemente estático com formulário, ferramenta administrativa ou instalação antiga em PHP. Confira esses serviços e os subdomínios sem uso antes de concluir que o PHP não está presente.

Devo instalar um scanner desconhecido ou usar uma exploração pública para conferir?

Não. Comece pelo pacote instalado, pelo ambiente ativo e pelo comunicado oficial do fornecedor. Use apenas métodos autorizados e controlados com o administrador; não execute uma exploração desconhecida contra um serviço em produção.

Mais informações: preparação para atualizar o PHP no WordPress e segurança do WordPress. Para falhas atuais ou erros após uma atualização, consulte falhas de serviços e problemas de atualização.