Por Redação Insight · Editor responsável: Werner Jacob · Atualizado em 7 de novembro de 2026.
O PHP, linguagem em que o WordPress é escrito, corrigiu em 21 de outubro duas falhas críticas que podem permitir execução remota de código sem login. A agência americana CISA incluiu as duas no catálogo de vulnerabilidades já exploradas em 26 de outubro. A correção está nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12; quem usa PHP 8.1 ou anterior não recebe atualização do projeto.
Para quem tem site em WordPress, a pergunta prática é uma só: qual versão do PHP a sua hospedagem está rodando? Abaixo, o que o PHP, a CISA e a OpenAI dizem nas páginas oficiais.
Tabela de Conteúdo
Quem corre risco?
Segundo o aviso do PHP, todas as instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O risco é maior no mod_php, onde há um exploit demonstrado em que uma requisição sem login dispara o ataque antes de qualquer código da aplicação rodar. A CISA repete essa avaliação.
O que são as duas falhas?
- CVE-2026-109618: o tratamento de falta de memória pode interromper o PHP com dados internos da requisição pela metade, e a limpeza posterior trata esses dados como válidos.
- CVE-2026-109619: estado interno de uma requisição pode sobreviver depois de a memória ter sido liberada, e uma requisição seguinte, atendida pelo mesmo processo, pode usar esse estado antigo.
O PHP classificou as duas com nota 9,2 (de 10) no CVSS v4.0.
Qual versão você precisa?
| Ramo do PHP | Versão corrigida | Suporte de segurança até |
|---|---|---|
| 8.2 | 8.2.35 | 31 de dezembro de 2026 |
| 8.3 | 8.3.36 | 31 de dezembro de 2027 |
| 8.4 | 8.4.27 | 31 de dezembro de 2028 |
| 8.5 | 8.5.12 | 31 de dezembro de 2029 |
Fonte: aviso do PHP (21/10/2026) e página de versões suportadas do php.net (consultada em 7/11/2026). Note que o PHP 8.2 deixa de receber correções de segurança em menos de dois meses.
E quem usa PHP 8.1 ou mais antigo?
O projeto não atualiza essas versões. Algumas distribuições Linux e fornecedores de suporte estendido oferecem correções adaptadas; o PHP também publicou backports mínimos de código-fonte para 7.4, 8.0 e 8.1, voltados a quem compila o próprio PHP. A CISA recomenda que quem não conseguir atualizar, ou continuar em PHP 8.1 ou anterior, tire os sistemas baseados em PHP do ar até corrigir.
Como saber a versão do seu site
No painel do WordPress, a tela Ferramentas > Saúde do site > Informações > Servidor mostra a versão do PHP. O painel da hospedagem também costuma trazer essa informação. Se for um servidor gerenciado por terceiros, o caminho é perguntar ao provedor qual versão está ativa e se o patch foi aplicado.
A OpenAI publicou uma ferramenta, o php2shell-checker, como habilidade do Codex, para ajudar a identificar versões potencialmente vulneráveis. A própria empresa recomenda usá-la junto com a orientação do PHP e dos provedores.
Se não der para atualizar hoje
O PHP lista medidas que reduzem exposição a caminhos de ataque específicos, mas avisa que não tornam a instalação segura. Entre elas: definir session.upload_progress.enabled=0 e reiniciar os processos, limitar o tamanho de requisições (post_max_size) e aplicar limites no servidor web ou proxy. A CISA acrescenta que um firewall de aplicação web pode dar alguma proteção até a atualização.
Quem achou as falhas e o papel da OpenAI
A OpenAI diz que liderou por cerca de dois meses uma coalizão de mantenedores, pesquisadores e provedores de segurança. A empresa Calif identificou uma falha crítica usando o GPT-5.6 Sol, no programa Patch the Planet, e a Wiz descobriu e reportou as duas de forma independente. Quem conduziu as correções e a liberação foram os mantenedores do PHP. A OpenAI afirma que a inteligência artificial achou as falhas antes dos atacantes e chama o caso de um dos problemas de segurança mais impactantes dos últimos tempos; é a avaliação dela.
Atualizações posteriores do PHP
Depois do aviso, o PHP publicou builds atualizados para Windows (8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1), que incluem uma correção de uma falha de escrita fora dos limites na descompressão Brotli. O projeto também recomenda manter session.upload_progress.enabled=0 até a próxima versão de correção, por causa de outra falha (CVE-2026-115560) que só ocorre numa combinação incomum de configuração e código.
O que as fontes não dizem
- Quantos sites foram comprometidos: a CISA informa que as falhas estão no catálogo de exploradas, mas sem contagem.
- Se a hospedagem de cada leitor já aplicou a correção: isso depende de cada provedor.
Leia também no Insight
- Frontier Model Forum cria uma régua para medir jailbreaks cibernéticos em IA
- 948 falhas e US$ 1,2 milhão: o experimento da OpenAI sobre revisão de segurança
- GPT-6.1 Terra: a IA que usa o computador e o nível “Crítico” em cibersegurança