Falhas críticas de segurança do núcleo do PHP afetam sites, incluindo WordPress
A equipe de segurança do PHP agendou uma atualização de emergência para 21 de outubro de 2026, às 14h UTC, para corrigir duas falhas críticas de segurança. Diz que os detalhes completos e a lista exata das versões afetadas e corrigidas serão publicados com o lançamento.
De acordo com o CERT-EU, as informações vazadas antes do lançamento indicam que os invasores poderiam usar as falhas para executar comandos em um servidor sem fazer login.
PHP é o software que executa o WordPress em seu servidor web. Atualizar o WordPress ou seus plugins não atualizará o PHP: sua empresa de hospedagem ou administrador do servidor precisa instalar a correção de segurança. Geralmente você mesmo pode atualizar o PHP através do Cpanel em sua conta de hospedagem.
Versões mais antigas do PHP precisam de atualização
PHP 8.1, 8.0, 7.4 e versões anteriores estão na lista oficial de fim de vida. Isso significa que o projeto PHP não os suporta mais. Os proprietários de sites devem atualizar em vez de presumir que o lançamento de hoje corrigirá sua versão antiga.
De acordo com a política de suporte do PHP, as versões que atingiram o fim de sua vida útil não recebem mais atualizações de segurança oficiais. PHP 8.2, 8.3, 8.4 e 8.5 são atualmente suportados. Essa lista de suporte é separada das versões específicas que receberão a correção de hoje.
Sites governamentais colocados off-line antes do patch do PHP
A International Cyber Digest informou que os sites do parlamento holandês e das agências cibernéticas, os serviços web do governo finlandês e os sites das universidades ficaram offline antes do lançamento. Descreveu as paralisações finlandesas como uma precaução, não uma violação.
A Sansec também informou que a Câmara dos Representantes da Holanda e o Centro Nacional de Segurança Cibernética colocaram seus sites offline por precaução.
O Centro Nacional de Segurança Cibernética do Reino Unido aconselha as organizações a considerarem colocar os sistemas offline se não conseguirem resolver o risco imediatamente. Para proprietários de sites, isso significa discutir um desligamento temporário com a equipe de hospedagem se o site não puder ser protegido enquanto aguarda a correção.
O que os proprietários de sites devem fazer agora
Siga o guia WordPress PHP para verificar sua versão: abra Ferramentas > Integridade do site no seu painel, selecione Informaçõese expandir Servidor.
- Pergunte ao seu host quando ele instalará a atualização de segurança do PHP e confirme quando seu site estiver protegido.
- Se você usa PHP 8.1 ou anterior, providencie uma atualização para uma versão compatível. Faça backup do site. Peça ao host para confirmar se a versão para a qual você está migrando também inclui a correção de hoje.
Se você não conseguir corrigir hoje, peça ao seu host para colocar o site afetado off-line ou protegê-lo com um firewall de aplicativo da web (WAF), como o Cloudflare, com regras confirmadas para bloquear esses ataques.
Peça ao seu host para garantir que todas as visitas ao seu site passem pelo firewall. Se os invasores puderem se conectar diretamente ao servidor que hospeda seu site, eles poderão ignorar essas verificações de segurança.
Após a correção, peça à sua equipe técnica para verificar se há web shells (scripts maliciosos que dão acesso aos invasores), novas contas de administrador que você não reconhece e alterações inesperadas em arquivos PHP. A instalação de um patch não remove um comprometimento que já ocorreu.
Prepare-se para vulnerabilidades mais graves
Como previ em agosto, ao escrever sobre como a IA está mudando a segurança dos sites, os invasores podem agir mais rápido do que os fabricantes de software conseguem fornecer uma solução. Relatos de uma ferramenta de ataque circulando antes deste patch do PHP mostram que o problema de tempo já está acontecendo.
Manter o software atualizado pode não proteger seu site enquanto um patch ainda estiver sendo desenvolvido. Uma violação pode expor os dados do cliente e prejudicar a visibilidade da pesquisa.
Peça à sua equipe técnica para auditar seu código e monitorar atividades suspeitas. Combine com seu host quem aplicará patches de emergência ou colocará o site afetado offline se ele não puder ser protegido.
Os invasores podem usar modelos sem censura e com as restrições de segurança removidas. Esses modelos podem tornar-se mais capazes através da destilação, que os treina nos resultados de modelos de fronteira mais poderosos. À medida que a IA se torna melhor na detecção e exploração de pontos fracos, espero que vulnerabilidades graves como estas sejam descobertas com mais frequência, com menos tempo para os proprietários de websites responderem. Preparar-se para esse ritmo está se tornando parte da proteção do seu site e de sua visibilidade nas pesquisas.
Imagem em destaque: Popartic/Shutterstock
