Outubro de 2026 foi um mês e tanto para experts em cibersegurança. Diversas falhas e vulnerabilidades foram encontradas ao mesmo tempo, mas o que mais chamou a atenção foram as falhas no PHP, chamadas coletivamente de “php2shell”.
O PHP é uma das linguagens de programação mais antigas e mais vitais para o funcionamento da internet como conhecemos – segundo reportagem da BBC, a estimativa de especialistas é que até 70% da internet ainda dependa do PHP até hoje, então falhas como a php2shell não são brincadeira.
Como o PHP se tornou tão dominante
O PHP surgiu em 1995, com o intuito de ser usado lado a lado com o HTML para montar aplicações web dinâmicas. Com o passar dos anos, se tornou uma linguagem mais geral, podendo ser usada para diversos propósitos.
Mas, no mundo digital, ela tomou o papel de fazer a comunicação entre o navegador e o servidor, como uma linguagem back-end que diz ao servidor o que ele precisa carregar e então exibe no seu navegador ou aplicativo as informações resultantes.
Para exemplificar esta dinâmica, a BBC usou a analogia de um garçom: o servidor é o chef de cozinha que prepara tudo para você, mas é o garçom que identifica o que pedir ao chef, de acordo com a sua solicitação, e traz o produto final quando o chef conclui o trabalho.
No decorrer dos últimos 30 anos, outras linguagens surgiram, podendo substituir o PHP, mas, como o PHP é considerado uma linguagem simples de usar, que adicionou várias funcionalidades com o passar dos anos e é utilizada por muita gente (resultando em um nível elevado de suporte), ele continua sendo rei no back-end.
O que houve com o PHP em outubro de 2026?
Em 2026, especialistas de duas empresas distintas de cibersegurança (Calif e Wiz – esta última sendo subsidiária da Alphabet, dona da Google) anunciaram que encontraram falhas no PHP, independentes uma da outra, com a descoberta inicial acontecendo em agosto.
Os desenvolvedores que realizam atualizações e manutenção do PHP foram avisados antecipadamente, dando tempo para trabalhar nas correções. Neste período, a investigação descobriu que a falha afetava múltiplas versões do PHP – incluindo todas as versões lançadas a partir de 2012, efetivamente atingindo todas as versões em uso na web.
Em 20 de outubro, os pesquisadores da Calif e da Wiz divulgaram a falha publicamente, usando o momento para também explicar que descobriram a vulnerabilidade com o suporte de ferramentas de inteligência artificial, com ambas usando modelos da OpenAI como parte do processo.
O nome “php2shell” veio dos especialistas da Wiz, indicando que eram falhas que podiam executar shellcode (nome dado para códigos executáveis que podem ser injetados em máquinas sem o consentimento dos donos a partir de vulnerabilidades).
Na escala CVSS (sigla para Sistema Comum de Pontuação de Vulnerabilidades), usada por especialistas para indicar, de 0 a 10, o quão séria uma vulnerabilidade é, os próprios desenvolvedores do PHP deram a pontuação de 9,2, enquanto a empresa de segurança watchTowr deu a nota máxima de 10, indicando uma falha severa.
Quem foi afetado pela falha?
Especialistas indicam que cerca de 70% da internet foi afetada, mas há alguns nomes de peso que merecem destaque.
Segundo artigo da Reuters, sites governamentais de países como França, Dinamarca, Holanda e Finlândia ficaram fora do ar para aplicar atualizações de correção, que foram publicadas pelos desenvolvedores do PHP já no dia 21. Semelhantemente, o governo brasileiro também precisou aplicar a atualização de correção.
Outro grande site afetado foi a Wikipédia – segundo o mesmo artigo da Reuters, a Wikimedia Foundation, que gerencia Wikipédia, Wikimedia Commons e outros sites, anunciou que precisou tirar certos sistemas do ar para corrigir brechas.
Não há registros de que alguém tenha se aproveitado da falha para atacar a Wikimedia ou os governos mencionados acima; seus sistemas apenas saíram do ar temporariamente para aplicar a atualização como ato preventivo.
Além destes sites específicos, a falha também atingiu grandes plataformas de criação e gestão de sites e de e-commerce como WordPress, Drupal, Joomla e Magento, de modo que todos os sites baseados nestas plataformas foram atingidos, mesmo que não utilizem seus serviços de hospedagem padrão.
Eu preciso me preocupar com isto?
Tudo depende de como o seu site funciona. Se ele depende do PHP, de qualquer modo, sim, é preciso se preocupar. Atualize seu PHP agora, mesmo que precise tirar o site do ar por algum tempo.
Se a hospedagem do seu site é gerenciada pelos serviços de hospedagem do WordPress, tudo está sob controle, porque a Automattic já aplicou atualizações para sites no seu sistema, mas, se ele roda no WordPress, mas é hospedado fora dele, você precisa entrar em contato com os responsáveis pela hospedagem para aplicar a atualização. Apenas atualizar o WordPress em si não resolverá a questão.
A boa notícia: se você já é cliente da EPIC, há uma boa chance de que o seu site esteja no HubSpot. Se este for o caso, não há com que se preocupar, pois a HubSpot não utiliza PHP nos seus sistemas, então esta vulnerabilidade não afeta sites montados na sua plataforma por padrão.
Mas, independentemente da plataforma do seu site, vale revisar as suas integrações externas para garantir que não há nada baseado em PHP rodando no site.