@andreias.ai · por baixo do capô

O furo é no PHP. O patch também.

PHP2Shell são duas falhas críticas no PHP (CVE-2026-109618 e CVE-2026-109619), corrigidas em 21/10/2026. Atualizar WordPress ou plugins não resolve: a correção é no PHP do servidor. Confira cada item e marque.

01Qual PHP está rodando

A versão da linha de comando pode ser diferente da que o servidor web usa. Confira as duas e, se usa container, a imagem.

# linha de comando
php -v

# PHP-FPM (nginx e a maioria dos painéis)
php-fpm -v    # em alguns sistemas: php-fpm8.3 -v

# Apache com mod_php: a versão aparece nos módulos
apachectl -M | grep -i php

# container
docker run --rm <sua-imagem> php -v

02Versão corrigida

Seu ramo precisa estar nesta versão ou acima (PHP Foundation, 21/10/2026).

03Quem atualiza

O furo está abaixo do seu site.

04Enquanto o patch não entra

Mitigação ajuda, mas não substitui a atualização.

05Se ficou exposto

Quem executa código no servidor lê o que está na memória dele.