Em 21 de outubro, o projeto PHP lançou a correção de duas falhas de segurança críticas, do tipo que permite a um desconhecido executar o próprio código no servidor do seu site sem precisar fazer login. A dupla ganhou o apelido de PHP2Shell. Bancos e companhias aéreas apareceram nas notícias. Sites de pequenas empresas não, e são justamente eles os mais propensos a continuar sem correção daqui a um mês.
Se o seu site roda em WordPress, ele roda em PHP. Aqui está o que aconteceu, o que fazer hoje e o que respondemos a quem pergunta por que um site Surmado Sites não tinha nada para atualizar.
O que aconteceu, em linguagem simples
PHP é a linguagem de programação em que o WordPress é escrito. Toda vez que alguém visita uma página WordPress, um programa PHP roda no servidor, busca o seu conteúdo num banco de dados e monta a página na hora. Dois bugs nesse programa, CVE-2026-109618 e CVE-2026-109619, permitem que um atacante envie uma única requisição manipulada e execute o próprio código no servidor. Sem precisar de senha. O projeto PHP classifica ambos com nota 9,2 de 10.
Algumas coisas que vale saber:
- Isto não é um bug do WordPress. Afeta qualquer site construído em PHP: WordPress, Drupal, Joomla, Magento e incontáveis sites sob medida. O WordPress.org diz que nenhuma atualização do WordPress é necessária nem está prevista. A correção está no próprio PHP.
- As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e as anteriores não recebem correção do projeto PHP. Se o seu site está em uma delas, a solução é uma atualização maior, não um patch.
- Atacantes já estavam tentando antes de a notícia sair. A rede de honeypots da Amazon registrou uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação pública, e já circula código público de prova de conceito.
- Não existe contorno seguro. Nas palavras do próprio projeto PHP: atualizar é a única escolha segura.
O que fazer hoje
1. Descubra qual versão do PHP o seu site usa. No painel de administração do WordPress, vá em Ferramentas, depois Diagnóstico, depois a aba Informações, depois Servidor. A versão do PHP aparece ali. A maioria dos painéis de hospedagem também mostra.
2. Se a versão for 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou mais nova, está tudo certo. Uma ressalva: alguns provedores aplicam a correção sem mudar o número da versão exibido na tela. Se o seu provedor enviou e-mail ou publicou um aviso de que corrigiu o PHP2Shell, confie no aviso mais do que no número.
3. Se for menor, consulte primeiro o seu provedor. Muitos provedores começaram a atualizar o PHP e a adicionar regras de firewall assim que a correção saiu. Procure uma página de status, um e-mail ou um aviso na sua conta de hospedagem. Se não houver nada, abra um chamado e pergunte diretamente: “O PHP foi corrigido para o CVE-2026-109618 e o CVE-2026-109619 na minha conta?”
4. Se você está no PHP 8.1 ou anterior, você tem um projeto, não um patch. O seu site precisa migrar para uma versão com suporte, e uma migração dessas pode quebrar um tema ou plugin antigo. A recomendação do WordPress.org para quem administra o próprio servidor com uma versão antiga é considerar tirar o site do ar durante a atualização. Se outra pessoa cuida disso para você, essa é a decisão a tomar hoje.
5. Não conte com um plugin de segurança para cobrir isso. Um plugin de WordPress roda dentro do PHP, então não consegue corrigir uma falha do próprio PHP. O ataque pode ser disparado antes de qualquer código do WordPress rodar. Um firewall no seu provedor ou na frente do seu site pode bloquear padrões de ataque conhecidos, que foi o que muitos provedores fizeram primeiro.
6. Coloque um lembrete no calendário para dezembro. O PHP 8.2 chega ao fim da vida útil em 31 de dezembro de 2026. Depois disso ele também deixa de receber correções de segurança, e o próximo PHP2Shell vai cair nele sem correção a caminho.
Por que isso continua acontecendo
Nada disso é uma crítica ao WordPress. É um bom software, e movimenta uma enorme fatia da web das pequenas empresas por boas razões. Mas vale entender no que você se meteu ao comprar um site WordPress, porque ninguém explica isso na hora.
Um site WordPress é um programa que roda toda vez que alguém o visita. Daí vem a sua flexibilidade: um plugin pode fazer quase qualquer coisa, porque há um programa ali, pronto para fazer. É também por isso que a lista de correções nunca chega a zero. PHP, o núcleo do WordPress, o tema e cada plugin são código em execução, e todos precisam de atualizações para sempre. Manutenção de site é, em grande parte, o trabalho de manter essa lista em dia, e os sites que ficam para trás são os que acabam com links de spam injetados em silêncio.
O PHP2Shell é incomum apenas pela profundidade em que está. Na maioria dos anos, o bug assustador está num plugin. Este está na linguagem que fica por baixo de tudo.
O que “estático” significa e por que os sites Surmado Sites são feitos assim
O Surmado Sites segue o caminho oposto. Não rodamos o seu site como um programa. Construímos as páginas prontas com antecedência, sempre que algo no site muda, e entregamos esses arquivos prontos aos visitantes. Quando alguém abre a sua página inicial, não há PHP rodando, nenhum banco de dados sendo consultado, nenhum código de plugin sendo executado. É um arquivo, entregue por uma rede de servidores perto do visitante.
É isso que “estático” significa. Não é uma escolha de design que dá para ver. É uma decisão sobre quanto código em execução fica entre a internet pública e o seu negócio.
Esta é a versão honesta do que isso garante e do que não garante:
- Uma falha como o PHP2Shell não tem onde atingir. Não há PHP no seu site para ser explorado. Em 21 de outubro, o número de coisas que os nossos clientes precisaram fazer a respeito foi zero. Não porque corrigimos rápido. Porque não havia nada para corrigir.
- A lista de correções ainda existe. Só que é nossa, e é curta. Um site Surmado Sites recebe dados em dois lugares: o formulário de contato e, nos sites que têm, a janela de chat. Eles rodam como serviços separados que nós mantemos e atualizamos, longe das suas páginas. O domínio e o certificado ainda precisam de cuidado, e isso faz parte da assinatura. O que muda é a quantidade de código exposto ao público e de quem é essa responsabilidade.
- Nenhum site é à prova de invasões. Quem diz o contrário está vendendo alguma coisa. Um site estático reduz o alvo ao ponto de a maior parte do que ataca sites WordPress não ter nada para atacar, o que é uma afirmação diferente, e a única que nos sentimos à vontade para fazer.
Quem deve ficar no WordPress
Páginas estáticas não fazem tudo, e preferimos dizer isso a deixar você descobrir depois.
- Você vende online. Uma loja precisa calcular carrinhos, receber pagamentos e conferir o estoque para cada cliente. Isso exige um programa. O Surmado Sites não faz lojas virtuais; se você vende por uma plataforma de loja, colocamos um link para ela no seu site.
- O seu negócio depende de um plugin. Um sistema de agendamento, uma área de membros, um portal do cliente. Se o visitante faz login e o site calcula algo só para ele, o WordPress ou algo parecido é a ferramenta certa, e a manutenção que vem junto é o preço dessa capacidade.
- Você está numa hospedagem WordPress gerenciada que aplicou essa correção antes de você ouvir falar do assunto, e está feliz em pagar por isso. É exatamente para isso que existe a hospedagem gerenciada. Se você recebeu o e-mail em 21 de outubro e não teve nada a fazer, a sua estrutura está funcionando.
Para todo o resto, que é a maioria das pequenas empresas, o site é um conjunto de páginas: o que você faz, onde você está, quando abre, como entrar em contato e um blog. Para esse site, a flexibilidade do WordPress é uma capacidade que você paga em manutenção e nunca usa. E em dias como 21 de outubro, é o motivo de você ter lição de casa.
Perguntas frequentes
Meu site não é WordPress. Isso me afeta?
Se ele foi construído em PHP, sim. Drupal, Joomla, Magento e a maioria dos sites sob medida feitos por uma agência rodam PHP. Se o seu site está num construtor hospedado como Wix, Squarespace ou Shopify, a empresa administra os servidores e não há nada para você instalar. Se você não sabe, pergunte a quem construiu.
A Surmado pode migrar o meu site WordPress?
Pode. Envie o endereço e reconstruímos de graça: mesmo conteúdo, fotos, estrutura de páginas e URLs, com redirecionamentos e metadados preservados e o código antigo deixado para trás. Uma pessoa confere tudo numa lista de QA de 42 pontos, você recebe uma prévia e não paga nada a menos que aprove. A maioria das reconstruções fica pronta em até 24 horas.
Vou perder o meu blog?
Não. Blogs são padrão num site Surmado Sites, e no plano Pro+ escrevemos posts semanais para você.
Um site estático prejudica o meu posicionamento nas buscas?
Normalmente o contrário. Páginas construídas com antecedência carregam mais rápido do que páginas montadas a cada visita, e velocidade é um fator de ranqueamento. Tudo o que os buscadores e os assistentes de IA precisam para ler o seu site está nos arquivos prontos.
Resumindo
Se você tem um site WordPress, confira hoje a versão do PHP, confirme que o seu provedor aplicou a correção e marque 31 de dezembro no calendário. Esse é o trabalho todo, e vale uma hora.
Se você prefere que esta seja a última vez que um bug numa linguagem de que você nunca ouviu falar te dá lição de casa, veja o que um site Surmado Sites inclui e os preços atuais. A reconstrução é gratuita, e você só paga se gostar.