CVE-2026-109618 · CVE-2026-109619
A PHP2Shell atinge praticamente todas as versões do PHP e não depende do código do seu sistema: basta estar rodando uma versão sem correção. Verificamos seu servidor, aplicamos a proteção imediata e fazemos a atualização sem tirar o site do ar.
php -v · protegido a partir de
[!] PHP 8.1 ou mais antigo: não há atualização oficial. O único caminho seguro é migrar.
O que é a PHP2Shell
Pesquisadores executaram comandos remotamente em instalações atuais de WordPress, Drupal e Joomla, sem usuário nem senha.
Mesmo sem tomar o servidor, dá para ler a memória do PHP: senhas, tokens de sessão, chaves de API e certificados.
Afeta desde o PHP 5.4 até as versões atuais, em PHP-FPM, Apache com mod_php, CGI e LiteSpeed.
A Amazon registrou uma tentativa de exploração em 17/10, antes mesmo da divulgação pública.
Encontre a sua linha do PHP. Se você não sabe qual usa, a gente descobre na verificação.
| Sua linha | Versão corrigida | O que fazer |
|---|---|---|
| 8.5 · 8.4 · 8.3 | 8.5.12 · 8.4.27 · 8.3.36 | Atualizar jáCorreção simples, sem mudar de versão. |
| 8.2 | 8.2.35 | Atualizar e planejar migraçãoO suporte de segurança do 8.2 termina em 31/12/2026. |
| 8.1 · 8.0 · 7.4 | Sem versão oficial | Migrar com urgênciaExiste só um remendo em código-fonte, sem suporte. Fora de linha desde antes da falha. |
| 7.3 ou anterior · 5.x | Nenhuma | Migrar com urgênciaVulnerável e sem qualquer correção disponível. |
Fontes: Wiz Research, NCSC-NL e php.net, consultados em 22/10/2026. Quer entender a falha em detalhes? Leia o guia completo da PHP2Shell.
Como resolvemos
01
Em até 48 horas úteis dizemos qual versão você roda, como o PHP está configurado e se há sinais de tentativa de ataque nos logs.
02
Enquanto a atualização não sai, aplicamos as mitigações recomendadas: ajustes de configuração e regras de firewall (WAF).
03
Versão recente: aplicamos a correção. Versão antiga: migramos numa cópia de testes e viramos no horário combinado.
04
Se houver indício de vazamento, ajudamos a trocar senhas, chaves de API e tokens que possam ter sido expostos.
Atendemos:
Orçamento
Atualizar um site em PHP 8.4 é bem diferente de migrar um sistema de 2016 em PHP 7. Por isso o valor é calculado a partir do tamanho e da complexidade do seu caso — e você recebe a proposta antes de qualquer compromisso.
Receber minha propostaUma correção dentro da mesma linha ou uma migração entre versões.
Quantidade de código, telas e integrações a testar.
Bibliotecas e plugins que também precisam ser atualizados.
Hospedagem compartilhada, VPS ou nuvem, e o acesso disponível.
Retornamos em até 48 horas úteis dizendo se você está exposto à PHP2Shell e o que fazer.
Não sabe a versão?
Tudo bem — marque “Não sei” e descobrimos para você.
[ok] recebido
Retornamos em até 48 horas úteis dizendo se o seu site está exposto e o que fazer.
Não necessariamente. A falha está no PHP que roda no servidor, não no WordPress. É preciso atualizar o próprio PHP.
Depende do provedor e da versão que você escolheu no painel. Se seu site está numa versão antiga, nenhuma correção chega até ele. Verificamos isso para você.
Em versões recentes, quase sempre sim. Saindo do 7.x ou 8.1, funções removidas e mudanças de comportamento costumam quebrar o site. Por isso migramos numa cópia antes.
Não. A migração é testada numa cópia e a troca acontece no horário que você escolher, com volta imediata se algo inesperado aparecer.
Há sinais nos logs, como erros 500 repetidos e cookies de sessão anormais. Olhamos isso na verificação.