Se o seu site roda em WordPress, ele roda em PHP. E o PHP acaba de receber uma das atualizações de segurança mais urgentes dos últimos anos.
Em 21 de outubro de 2026, o projeto lançou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para corrigir duas falhas críticas no PHP. Em certas condições, elas permitem que um atacante sem login execute código no servidor.
Neste artigo você entende o que são as falhas, por que a correção demorou, qual foi o papel da IA na descoberta e o que fazer hoje para proteger seu site.
O que são as duas falhas críticas no PHP
Segundo o comunicado da PHP Foundation, as duas vulnerabilidades ficam em partes que quase toda requisição usa: o gerenciamento de memória e o tratamento de erros.
| Falha | O que acontece | Impacto confirmado |
|---|---|---|
| CVE-2026-109618 (falta de memória) | Se a requisição bate no limite de memória no momento errado, o PHP deixa dados pela metade e depois os trata como válidos | Execução remota de código no Apache com mod_php, antes de qualquer código do site rodar, com configuração padrão; também confirmada no PHP-FPM por caminhos da aplicação |
| CVE-2026-109619 (estado antigo) | Um erro fatal no ponto errado deixa referências para memória de uma requisição anterior, que a próxima requisição pode reutilizar | Execução remota de código demonstrada contra uma aplicação real no Apache com mod_php |
A nota de gravidade oficial (CVSS) é 9,2. Na véspera circulou nas redes um valor de 10,0, que estava errado.
Por que a correção demorou tanto
A PHP Foundation foi transparente: os primeiros sinais do problema de memória apareceram ainda em 2024, durante a primeira auditoria externa de segurança do PHP em anos, feita pela Quarkslab.
Na época, ninguém tinha encontrado um caminho concreto para explorar a falha. A equipe criou várias soluções concorrentes, mas cada uma quebrava compatibilidade, abria risco de travamento ou exigia mudanças em muitas extensões de terceiros.
A própria fundação chamou a demora de “falha estrutural”, causada pelo processo de decisão e pela falta de recursos. O trabalho travou e recomeçou várias vezes ao longo de meses.
O papel da IA na descoberta
A situação mudou em 2026. O PHP foi analisado com o Claude Mythos, da Anthropic, em parceria com a Alpha-Omega, e a equipe passou a usar também o Daybreak Red, da OpenAI, para validar relatos e explorações.
Em 11 de agosto, o pesquisador Ryan A, da empresa Calif, relatou uma execução remota de código com a mesma causa do problema de 2024. A OpenAI relatou a mesma causa de forma independente no mesmo dia. A Wiz trouxe novos vetores em 24 de agosto e a OpenAI, em 18 de setembro.
Com a IA, o volume de relatos explodiu: segundo a fundação, foram 15 CVEs publicados desde 1º de julho e mais de 100 relatos inválidos, duplicados ou impossíveis de reproduzir. A fundação ressalta que uma pessoa toma cada decisão e trabalha em cada correção.
O vazamento antes da hora
A divulgação coordenada funcionou até dois dias antes da data marcada. Em 20 de outubro, os números das falhas começaram a circular em fóruns e redes sociais, com horário e gravidade errados.
O PHP antecipou o lançamento de 22 para 21 de outubro, às 14h UTC (11h em Brasília). Na sequência, a Calif publicou por engano um vídeo com a prova de conceito, que foi apagado mas copiado nas redes.
Para piorar, a Chainguard quebrou o embargo às 7h41 UTC de 21 de outubro, mais de seis horas antes do lançamento, publicando imagens com a correção. Qualquer atacante pôde estudar a correção enquanto os demais usuários ainda esperavam.
O que fazer agora para proteger seu site
No painel da hospedagem (como o hPanel da Hostinger) ou em Ferramentas > Saúde do site, no WordPress, veja qual versão do PHP está ativa.
O ramo 8.5 precisa estar na 8.5.12 ou superior; o 8.4, na 8.4.27; o 8.3, na 8.3.36; e o 8.2, na 8.2.35.
O comunicado lista correções apenas para esses quatro ramos. Se o seu site roda uma versão mais antiga, planeje a migração.
Em hospedagem compartilhada, quem atualiza o PHP é o provedor. Abra um chamado e pergunte se a versão corrigida já foi aplicada.
Aproveite a janela para atualizar WordPress, plugins e tema. Veja também nosso alerta anterior sobre uma falha crítica no WordPress.
Perguntas frequentes
Meu site em WordPress está em risco?
O WordPress roda em PHP, então todo site que usa uma versão vulnerável está exposto. A correção depende de atualizar o PHP do servidor.
Quais versões do PHP corrigem as falhas?
As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançadas em 21 de outubro de 2026.
Já existe exploração ativa?
A fundação diz que monitorou as provas de conceito que surgiram após o vazamento e não identificou explorações funcionais até o lançamento. Isso pode mudar rápido, então não adie.
Como sei se minha hospedagem já atualizou?
Veja a versão exata do PHP no painel ou na tela Saúde do site do WordPress. Se não estiver na versão corrigida, abra um chamado.
Conclusão
As falhas críticas no PHP atingem a base de boa parte da web, inclusive milhões de sites WordPress. A correção já existe: confira sua versão hoje e atualize ou peça à hospedagem que atualize.
Quer deixar seu site mais protegido de forma geral? Veja nosso checklist do que fazer depois de instalar o WordPress.