Em resumo: duas camadas do seu site precisam de atenção agora. O WordPress (core) tem uma falha crítica, a CVE-2026-87902, corrigida em setembro. E o PHP acaba de receber correções de emergência para duas falhas ainda mais graves, apelidadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619), publicadas em 21/10/2026. São problemas diferentes, e quem hospeda um site WordPress precisa corrigir os dois.
Se você é cliente Vega Web de hospedagem gerenciada, a atualização do ambiente é feita pela nossa equipe. Veja no final o que muda para o seu plano.
O que é a vulnerabilidade e como ela funciona?
CVE-2026-87902: falha no core do WordPress
- Afeta: WordPress do 4.7.0 ao 7.1.1.
- Gravidade: CVSS v4.0 de 9.2 (crítico).
- Tipo: inclusão de arquivos locais (Local File Inclusion, LFI), que pode levar a execução remota de código (RCE) sem autenticação, sob certas condições. O ponto central é a inclusão de arquivos locais; a execução de código depende do cenário do servidor.
- Onde está o problema: na resolução de modelos de página (templates) do WordPress.
- Como o ataque funciona, em linhas gerais: o atacante envia requisições HTTP manipuladas, com sequências de navegação por diretório (como
../), para fazer o WordPress carregar arquivos locais que não deveria. Dependendo do ambiente, isso abre caminho para rodar código no servidor, sem precisar de login. - Descoberta: pelo pesquisador Robert Ressl, reportada de forma privada pelo programa HackerOne do WordPress em 20/07/2026. Uma prova de conceito (PoC) pública foi divulgada junto com a divulgação.
- Situação atual: até o momento, as análises que consultamos não atribuem a falha a uma campanha de ataque específica. Mas com PoC público, a tendência é de varreduras automatizadas. Não espere.
Importante: a CVE-2026-87902 não é a mesma coisa que o PHP2Shell, e não deve ser confundida com a CVE-2024-31210, que é uma falha antiga e sem relação.
PHP2Shell: duas falhas no próprio PHP (CVE-2026-109618 e CVE-2026-109619)
Em 21/10/2026, a equipe do PHP lançou correções de emergência para duas falhas críticas, ambas com CVSS v4.0 de 9.2, que podem permitir execução remota de código sem autenticação.
| CVE | Resumo simples |
|---|---|
| CVE-2026-109618 — RCE via corrupção por falta de memória (OOM) | Quando o PHP fica sem memória no meio de uma requisição, ele pode ser interrompido com dados internos só parcialmente inicializados. A rotina de limpeza então trata esses dados inválidos como se fossem válidos. |
| CVE-2026-109619 — RCE via estado global obsoleto | Um worker do PHP pode reaproveitar estado de uma requisição anterior, cuja memória já foi liberada (use-after-free). |
Por que isso importa para quem usa WordPress: a falha está no PHP, não em plugin ou tema. Atualizar plugins não resolve. Isso vale também para Drupal, Joomla, Magento, WooCommerce e qualquer sistema em PHP.
Segundo a própria equipe do PHP, não há mitigação completa: atualizar é a única forma segura. Houve relato de tentativa de exploração em 17/10, quatro dias antes da divulgação pública.
Países e escala do impacto no ecossistema Web
- Escala global. O PHP está por trás de uma enorme fatia da web, e o WordPress sozinho alimenta mais de 40% dos sites. Como o PHP2Shell afeta todas as instalações de PHP que atendem requisições web (PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed), o universo de sites expostos é de milhões.
- Alertas de órgãos de segurança. O CERT-EU, centro de resposta a incidentes das instituições da União Europeia, nomeou e acompanhou as duas CVEs. Houve relatos de organizações públicas na Europa e em outros continentes que tiraram serviços do ar de forma preventiva enquanto não conseguiam aplicar o patch.
- Brasil. Sites e sistemas em PHP de empresas e órgãos brasileiros também estão no alcance da falha, e o risco prático é de varreduras automatizadas e tentativas de invasão em larga escala.
- O que está em jogo: sequestro do servidor, injeção de malware, vazamento de dados sensíveis (credenciais do
wp-config.php, banco de dados, chaves de API) e desfiguração de sites (defacement).
Quais versões do WordPress e PHP já estão corrigidas?
WordPress (CVE-2026-87902)
O WordPress lançou a versão 7.1.2 em 22/09/2026 e fez backport das correções para os ramos de segurança mantidos:
| Ramo | Versão corrigida |
|---|---|
| 7.1 | 7.1.2 |
| 7.0 | 7.0.6 |
| 6.9 | 6.9.9 |
| 6.8 | 6.8.10 |
Há correções também para ramos mais antigos mantidos, até o 4.7. Se você está em uma versão antiga, atualize para a última versão disponível do seu ramo ou, melhor, para a mais recente.
PHP (PHP2Shell: CVE-2026-109618 e CVE-2026-109619)
| Ramo do PHP | Versão corrigida |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
| 8.1 e anteriores | Sem versão oficial corrigida (fim de vida) |
Se o seu site roda em PHP 8.1 ou anterior, o caminho é migrar para um ramo suportado. Ramos em fim de vida não recebem binário oficial, e depender de backports de código-fonte exige compilar por conta própria ou aguardar o pacote da sua distribuição Linux ou provedor.
Para conferir a versão no servidor:
bash
php -v
# deve mostrar 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou superiorGuia de ação imediata: como blindar seu site na VegaWeb
Passo a passo
- Atualize o PHP para uma das versões corrigidas acima. Esta é a medida mais urgente.
- Reinicie o serviço (por exemplo, PHP-FPM ou o servidor web) depois da atualização, para que o novo binário entre em uso. Atualizar o pacote sem reiniciar deixa o processo antigo, vulnerável, em execução.
- Atualize o WordPress para 7.1.2, 7.0.6, 6.9.9, 6.8.10 ou versão superior do seu ramo.
- Atualize plugins e temas. Eles não corrigem o PHP2Shell, mas reduzem a superfície de ataque.
- Revise os logs desde pelo menos 17/10/2026. Procure requisições com sequências
../ou codificações equivalentes, picos de erros de memória do PHP, arquivos novos ou alterados emwp-content/uploadse processos incomuns iniciados pelo usuário do servidor web. - Verifique se você usa mod_php. A equipe do PHP considera esse o cenário de maior risco, porque a exploração pode acontecer antes de o código da aplicação rodar.
- Ative um WAF (Cloudflare, Sucuri ou WAF no nível de servidor) com regras para filtrar travessia de diretório. Ele ajuda a ganhar tempo, mas não substitui a atualização.
- Troque credenciais se houver qualquer suspeita de comprometimento: senhas de administrador, banco de dados, chaves de API e salts do
wp-config.php. - Tenha backup recente e testado, guardado fora do servidor.
Sobre configurações “milagrosas”
Você pode ver na internet dicas como desativar allow_url_include e allow_url_fopen no php.ini ou ativar DISALLOW_FILE_MODS no wp-config.php. Elas podem fazer parte de um bom endurecimento (hardening) geral, mas não corrigem nenhuma dessas falhas. DISALLOW_FILE_MODS, em especial, bloqueia atualizações e instalações pelo painel do WordPress, o que pode atrapalhar você a manter o site atualizado. Só use se tiver outro processo de atualização.
O que a VegaWeb já faz por você
- Hospedagem gerenciada: os servidores gerenciados foram atualizados para as versões corrigidas do PHP (8.2.35, 8.3.36, 8.4.27 ou 8.5.12, conforme o ramo do seu plano), e o ambiente foi reiniciado.
- VPS e servidores dedicados: a atualização do PHP e a reinicialização do PHP-FPM ou do servidor web são responsabilidade do administrador do servidor. Se você não tem equipe técnica, nosso time pode fazer isso por você.
- WordPress: verifique no painel se o core está em uma versão corrigida e se as atualizações automáticas de segurança estão ativas.
Proteja seu site com a Vega Web
Falhas críticas como estas mostram que segurança não é um projeto de uma vez só, e sim um processo contínuo. Com a VegaWeb você conta com:
- Hospedagem segura, com ambiente atualizado e versões de PHP suportadas;
- Monitoramento para detectar arquivos alterados, tentativas de invasão e comportamento anormal;
- Manutenção de WordPress, com atualizações de core, plugins e temas, e backups testados;
- Suporte técnico para migrar sites de versões antigas de PHP com segurança.
Não sabe qual versão de PHP ou de WordPress seu site usa? Fale com a equipe Vega Web e peça uma verificação gratuita do seu ambiente. Atualizar hoje custa muito menos do que recuperar um site invadido amanhã.
Fontes consultadas: Help Net Security, Datadog Security Labs, SOCRadar, Sansec, CrowdStrike, Brandefense, watchTowr, Abstract Security, SOC Prime e o anúncio de lançamento do PHP 8.4.27 no GitHub. Dados verificados em 22/10/2026; a situação pode mudar rapidamente, então confirme as versões nos canais oficiais do PHP e do WordPress.
