A resposta curta: a 21/10/2026 foram publicadas duas falhas críticas no PHP, a linguagem em que funcionam o WordPress e a maior parte dos sites. Se você tem hospedagem compartilhada ou de revenda conosco, está protegido e não precisa fazer nada: aplicamos medidas de proteção no mesmo dia em todos os nossos servidores de hospedagem. Se você tem um VPS, um Cloud ou um servidor dedicado, quem gerencia o sistema é você (você tem o acesso root), por isso precisa atualizar o PHP agora. Este artigo mostra como.
O que são estas falhas
São dois erros no próprio PHP, com gravidade de 9,2 de 10. Em certas condições, permitem que alguém de fora execute código no servidor sem precisar de login, apenas com requisições ao site. Afetam todas as versões do PHP, em qualquer provedor do mundo, e todos os modos de execução (PHP-FPM, Apache com mod_php, LiteSpeed e outros).
| Falha |
O que pode permitir |
Versões afetadas |
Versões corrigidas |
| CVE-2026-109618 |
Executar código no servidor, sem login, quando uma requisição esgota a memória do PHP no meio do processamento, por exemplo durante o envio de um arquivo por formulário. |
8.2 antes da 8.2.35
8.3 antes da 8.3.36
8.4 antes da 8.4.27
8.5 antes da 8.5.12
8.1 e anteriores |
8.2.35, 8.3.36, 8.4.27 e 8.5.12 |
| CVE-2026-109619 |
Executar código no servidor, sem login, aproveitando dados de uma requisição anterior que não foram limpos, por exemplo depois de um erro fatal. |
8.2 antes da 8.2.35
8.3 antes da 8.3.36
8.4 antes da 8.4.27
8.5 antes da 8.5.12
8.1 e anteriores |
8.2.35, 8.3.36, 8.4.27 e 8.5.12 |
O PHP 8.1 e as versões anteriores (7.4, 8.0) já não recebem correções do projeto PHP: a correção, se existir, vem do fabricante do seu sistema operacional. Se o seu site ainda usa uma dessas versões, este é o momento de passar para uma versão suportada. Fontes: o aviso 2026-018 do CERT-EU (cert.europa.eu) e o anúncio do php.net de 21/10/2026.
O que fizemos na hospedagem compartilhada e na revenda
| 1 |
No mesmo dia, aplicamos medidas de proteção em todos os nossos servidores de hospedagem compartilhada e de revenda: desativamos a função do PHP em que a falha foi confirmada (a barra de progresso dos envios) e limitamos os envios.
|
|
| 2 |
A atualização definitiva (o PHP corrigido) será instalada assim que o fabricante do sistema operacional dos nossos servidores a disponibilizar. A distribuição já começou e verificamos de hora em hora.
|
|
| 3 |
Seus sites, e-mails e arquivos continuam como estavam. A única mudança que você pode notar: os envios de arquivos por formulários ficam limitados a 32 MB. Se precisar de mais, solicite por meio de um ticket de suporte no My MozOut.
|
|
Em um VPS, Cloud ou servidor dedicado: atualizar o PHP
Acesse por SSH como root (ou com um usuário com sudo) e siga o caso do seu servidor. Se puder, faça antes um backup do servidor, mas não adie a atualização por causa disso.
| 1 |
Veja qual versão você tem: php -v Um servidor pode ter várias versões do PHP, e o site pode usar uma versão diferente da que o terminal mostra: atualize todas.
|
|
| 2 |
Com cPanel e WHM: no WHM, abra Software » EasyApache 4 e clique em Run System Update. Pelo terminal, atualize os pacotes ea-php e reinicie o PHP-FPM: dnf upgrade 'ea-php*'
/usr/local/cpanel/scripts/restartsrv_apache_php_fpm --hard Para ver cada versão, troque 83 pela sua: ea-php83 -v
|
|
| 3 |
Com Plesk: em Tools & Settings » Updates, aba Update Components, selecione os componentes do PHP com atualização disponível e clique em Continue. Pelo terminal: plesk installer --select-release-latest --upgrade-installed-components Na mesma área, em Update Settings, pode ativar a atualização automática dos componentes de terceiros, que vem desativada.
|
|
| 4 |
Ubuntu ou Debian sem painel: sudo apt update
sudo apt upgrade Depois reinicie o PHP-FPM da sua versão (veja o nome com systemctl list-units 'php*'), e também o Apache, se usar mod_php: sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2
|
|
| 5 |
AlmaLinux ou Rocky Linux sem painel: sudo dnf upgrade 'php*'
sudo systemctl restart php-fpm
sudo systemctl restart httpd
|
|
| 6 |
Verifique. Execute novamente php -v e confirme também pela web: crie no site um arquivo versao.php com <?php echo PHP_VERSION;, abra-o no navegador e apague-o logo em seguida.
|
|
O número da versão pode não mudar. Nos pacotes do Ubuntu, do Debian, do AlmaLinux e do Rocky Linux, o fabricante costuma corrigir a versão que já distribui, sem mudá-la para 8.3.36 ou outra das versões acima. Nesse caso, confirme nos avisos de segurança do seu sistema que o pacote instalado já traz a correção dos dois CVE.
Se ainda não há pacote corrigido: as medidas provisórias
O CERT-EU indica estas medidas para quem ainda não pode atualizar. Reduzem o risco, mas não substituem a atualização: aplique-as agora e atualize assim que o pacote corrigido estiver disponível.
| 1 |
Desative a barra de progresso dos envios no php.ini de cada versão do PHP: session.upload_progress.enabled = 0 No cPanel, no WHM, em Software » MultiPHP INI Editor, aba Editor Mode, versão a versão. No Plesk, em Tools & Settings » PHP Settings, escolha a versão e abra a aba php.ini. Sem painel, php --ini mostra o arquivo usado no terminal; o do PHP-FPM está em outra pasta (no Debian e no Ubuntu, /etc/php/8.3/fpm/php.ini).
|
|
| 2 |
Limite os envios: post_max_size = 8M se o site não recebe arquivos, ou post_max_size = 32M se recebe, com upload_max_filesize abaixo desse valor (por exemplo, 30M).
|
|
| 3 |
No PHP 8.5, acrescente também fatal_error_backtraces = 0.
|
|
| 4 |
Reinicie todos os processos do PHP, com os comandos indicados acima para o seu servidor. Sem reiniciar, as mudanças não têm efeito.
|
|
| 5 |
Não consegue atualizar nem aplicar estas medidas? O CERT-EU recomenda tirar o servidor do acesso público até estar corrigido. Fale conosco antes de fazer isso.
|
|
|
Não confie só no .user.ini nem no ini_set(). O CERT-EU avisa que, para esta falha, a mudança precisa estar no php.ini do servidor (ou na configuração do PHP-FPM), porque é ali que o PHP a lê antes de tratar a requisição. E reinicie os processos do PHP depois de atualizar ou de mudar o php.ini: os processos que já estavam em execução continuam com o código e a configuração antigos.
|
|
Você tem um VPS, Cloud ou servidor dedicado e precisa de ajuda para atualizar o PHP? Ou precisa enviar arquivos maiores que 32 MB? Fale conosco.
Abrir um ticket de suporte
|
Angola
Brasil
Kenya
Moçambique
Nigeria
Portugal
South Africa
United Kingdom
United States
International
