Tecnologia · Especial
A falha que apagou o governo, parou tribunais e agora caça sites pequenos
No dia 21 de outubro, servidores públicos de Brasília chegaram ao trabalho e encontraram o SEI, o sistema onde tramita boa parte da papelada do governo federal, fora do ar. Não era pane. Era ordem: o Ministério da Gestão tinha mandado desligar tudo o que rodasse em PHP. Em poucas horas, tribunais federais e a Anatel fizeram o mesmo. O motivo tinha nome de filme de ação: php2shell.
Pesquisa exclusiva · Norte do Paraná
André Guimarães alerta: 21 sites públicos do Norte do Paraná mostram PHP fora das versões corrigidas
AGAndré Guimarães, analista político e desenvolvedor de sistemas · levantamento feito em 15/11/2026
O analista político e desenvolvedor de sistemas André Guimarães passou o verificador do Apagão do PHP nos sites de prefeituras, câmaras de vereadores, fóruns e órgãos da Justiça, autarquias, universidades, consórcios e cartórios do Norte Central e do Norte Pioneiro do Paraná. Foram 273 sites públicos encontrados e lidos, um a um, do mesmo jeito que qualquer visitante faria: uma visita à página inicial, sem atacar nada.
11 prefeituras do Norte do Paraná podem estar correndo perigo de invasão, segundo o desenvolvedor de sistemas André Guimarães: Astorga, Floresta, Flórida, Ibiporã, Jacarezinho, Manoel Ribas, Nossa Senhora das Graças, Novo Itacolomi, Sertaneja, São Pedro do Ivaí e Uniflor.
📧 Órgãos notificados: em 15/11/2026, o Você Viu Isso? enviou e-mail a 20 órgãos da lista com o que foi encontrado no site de cada um e o passo a passo da correção. Quem já corrigiu pode responder o e-mail para uma nova checagem.
“Prefeitura, câmara e cartório guardam dado de cidadão: CPF, endereço, processo, certidão. Um servidor com PHP desatualizado é uma porta aberta para os robôs que estão varrendo a internet agora. Não é para criar pânico, é para corrigir hoje”, alerta André Guimarães.
🚨 Alerta: o servidor informa uma versão do PHP fora das corrigidas
- Prefeitura de Astorga astorga.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Prefeitura de Floresta floresta.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Prefeitura de Flórida florida.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Prefeitura de Ibiporã ibipora.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Prefeitura de Jacarezinho jacarezinho.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Prefeitura de Manoel Ribas manoelribas.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Prefeitura de Nossa Senhora das Graças nossasenhoradasgracas.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Prefeitura de Novo Itacolomi novoitacolomi.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Prefeitura de Sertaneja sertaneja.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Prefeitura de São Pedro do Ivaí saopedrodoivai.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Prefeitura de Uniflor uniflor.pr.gov.br · informa publicamente PHP 5.4.16, fora da lista de versões corrigidas (pacote do CentOS 7, sistema sem suporte desde 2024)
- Câmara de Assaí cmassai.pr.gov.br · informa publicamente PHP 7.0.33, fora da lista de versões corrigidas
- Anoreg-PR, associação dos cartórios do Paraná (site para onde o Cartório do Machado, de Cambará, redireciona) anoregpr.org.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Câmara de Florestópolis cmflorestopolis.pr.gov.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Câmara de Itaguajé cmitaguaje.pr.gov.br · informa publicamente PHP 8.0.30, fora da lista de versões corrigidas
- 3º Tabelionato de Protesto de Títulos de Londrina 3protestos.com.br · informa publicamente PHP 5.6.33, fora da lista de versões corrigidas
- Cismepar (consórcio de saúde do Médio Paranapanema) cismepar.org.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- 2º Tabelionato de Notas de Maringá (Rocha Loures) rochaloures.com.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Cisamusep (consórcio de saúde de Maringá) cisamusep.org.br · informa publicamente PHP 7.4.33, fora da lista de versões corrigidas
- Câmara de Marumbi marumbi.pr.leg.br · informa publicamente PHP 8.2.8, fora da lista de versões corrigidas
- TRF4, que hospeda o site da Justiça Federal no Paraná (varas de Londrina, Maringá, Apucarana...) trf4.jus.br · informa publicamente PHP 8.1.34, fora da lista de versões corrigidas
⚠️ Atenção: conexão sem proteção
- Prefeitura de Cornélio Procópio cornelioprocopio.pr.gov.br · certificado de segurança em nome de outro site: o navegador mostra aviso de "não seguro"
- Prefeitura de Joaquim Távora joaquimtavora.pr.gov.br · o endereço joaquimtavora.pr.gov.br abre uma página sem HTTPS (conexão sem cadeado)
- Câmara de Paiçandu paicandu.pr.leg.br · certificado de segurança em nome de outro site: o navegador mostra aviso de "não seguro"
Ver os 109 sites em que não deu para ver a versão do PHP
Esconder a versão é boa prática, mas impede confirmar de fora se a correção foi aplicada. André Guimarães recomenda que cada órgão confirme a versão com quem cuida do servidor. Quer a checagem completa? Fale com André Guimarães.
- Prefeitura de Abatiá abatia.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Andirá andira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Apucarana apucarana.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Arapongas arapongas.atende.net · usa PHP, versão escondida
- Prefeitura de Arapuã arapua.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ariranha do Ivaí ariranhadoivai.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Atalaia atalaia.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Bandeirantes bandeirantes.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Bom Sucesso bomsucesso.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Borrazópolis borrazopolis.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Califórnia california.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Cambará cambara.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Cambira cambira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Cambé cambe.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Carlópolis carlopolis.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Centenário do Sul centenariodosul.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Colorado colorado.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Congonhinhas congonhinhas.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Cruzmaltina cruzmaltina.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Curiúva curiuva.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Cândido de Abreu candidodeabreu.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Figueira figueira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Floraí florai.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Godoy Moreira godoymoreira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Grandes Rios grandesrios.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Guapirama guapirama.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ibaiti ibaiti.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Iguaraçu iguaracu.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Itambé itambe.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ivaiporã ivaipora.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ivatuba ivatuba.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Jaboti jaboti.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Jaguapitã jaguapita.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Jandaia do Sul jandaiadosul.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Japira japira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Jardim Alegre jardimalegre.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Jundiaí do Sul jundiaidosul.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Kaloré kalore.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Leópolis leopolis.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Lidianópolis lidianopolis.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Lobato lobato.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Londrina portal.londrina.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Lunardelli lunardelli.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Mandaguari mandaguari.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Mandaguaçu mandaguacu.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Marialva marialva.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Marumbi marumbi.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Mato Rico matorico.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Mauá da Serra mauadaserra.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Miraselva miraselva.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Nova América da Colina novaamericadacolina.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Nova Fátima novafatima.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Nova Tebas novatebas.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ourizona ourizona.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Paiçandu paicandu.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Pinhalão pinhalao.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Pitangueiras pitangueiras.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Porecatu porecatu.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Prado Ferreira pradoferreira.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Presidente Castelo Branco presidentecastelobranco.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Primeiro de Maio primeirodemaio.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Quatiguá quatigua.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ribeirão Claro ribeiraoclaro.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Rio Bom riobom.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Rio Branco do Ivaí riobrancodoivai.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Rosário do Ivaí rosariodoivai.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Sabáudia sabaudia.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santa Inês santaines.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santa Mariana santamariana.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santana do Itararé santanadoitarare.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santo Antônio da Platina santoantoniodaplatina.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santo Antônio do Paraíso pmsantoantoniodoparaiso.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Santo Inácio santoinacio.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Sapopema sapopema.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Siqueira Campos siqueiracampos.pr.gov.br · usa PHP, versão escondida
- Prefeitura de São José da Boa Vista saojosedaboavista.pr.gov.br · usa PHP, versão escondida
- Prefeitura de São João do Ivaí saojoaodoivai.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Tomazina tomazina.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Wenceslau Braz wenceslaubraz.pr.gov.br · usa PHP, versão escondida
- Prefeitura de Ângulo angulo.pr.gov.br · usa PHP, versão escondida
- Câmara de Ariranha do Ivaí cmariranhadoivai.pr.gov.br · usa PHP, versão escondida
- Câmara de Atalaia camaraatalaia.pr.gov.br · usa PHP, versão escondida
- Câmara de Borrazópolis cmborrazopolis.pr.gov.br · usa PHP, versão escondida
- Câmara de Centenário do Sul centenariodosul.pr.leg.br · usa PHP, versão escondida
- Câmara de Colorado cmcolorado.pr.gov.br · usa PHP, versão escondida
- Câmara de Cândido de Abreu cmcandidodeabreu.pr.gov.br · usa PHP, versão escondida
- Câmara de Figueira cmfigueira.pr.gov.br · usa PHP, versão escondida
- Câmara de Guapirama cmguapirama.pr.gov.br · usa PHP, versão escondida
- Câmara de Itambé cmitambe.pr.gov.br · usa PHP, versão escondida
- Câmara de Kaloré kalore.pr.leg.br · usa PHP, versão escondida
- Câmara de Lidianópolis cmlidianopolis.pr.gov.br · usa PHP, versão escondida
- CMTU Londrina cmtu.londrina.pr.gov.br · usa PHP, versão escondida
- Caapsml (previdência dos servidores de Londrina) caapsml.londrina.pr.gov.br · usa PHP, versão escondida
- Cohab-LD cohabld.londrina.pr.gov.br · usa PHP, versão escondida
- Ippul (planejamento de Londrina) ippul.londrina.pr.gov.br · usa PHP, versão escondida
- Universidade Estadual de Londrina (UEL) portal.uel.br · usa PHP, versão escondida
- Câmara de Lunardelli cmlunardelli.pr.gov.br · usa PHP, versão escondida
- Câmara de Manoel Ribas cmmanoelribas.pr.gov.br · usa PHP, versão escondida
- 1º Registro Civil e 5º Tabelionato de Notas de Maringá cartoriomaringa.com · usa PHP, versão escondida
- Câmara de Mauá da Serra mauadaserra.pr.leg.br · usa PHP, versão escondida
- Câmara de Miraselva cmmiraselva.pr.gov.br · usa PHP, versão escondida
- Câmara de Nova Tebas cmnovatebas.pr.gov.br · usa PHP, versão escondida
- Câmara de Rio Branco do Ivaí cmriobrancodoivai.pr.gov.br · usa PHP, versão escondida
- Câmara de Rosário do Ivaí cmrosariodoivai.pr.gov.br · usa PHP, versão escondida
- Câmara de Santo Inácio cmsantoinacio.pr.gov.br · usa PHP, versão escondida
- Câmara de Sapopema cmsapopema.pr.gov.br · usa PHP, versão escondida
- Câmara de São Jorge do Ivaí cmsaojorgedoivai.pr.gov.br · usa PHP, versão escondida
- Câmara de São Pedro do Ivaí cmsaopedrodoivai.pr.gov.br · usa PHP, versão escondida
- Câmara de Uniflor cmuniflor.pr.gov.br · usa PHP, versão escondida
Como foi feito: leitura passiva da página inicial de cada site em 15/11/2026, com o mesmo motor do verificador acima. A versão do PHP listada é a que o próprio servidor informa publicamente a qualquer visitante. Versões 8.1, 8.0 e 7.4 só receberam correção avulsa, que não muda o número: daqui de fora não dá para provar que foi aplicada, por isso entram no alerta. Órgão citado que já corrigiu pode pedir nova checagem pelo WhatsApp 43 99846-6589.
O que é o php2shell
O PHP é a linguagem de programação que roda por trás de cerca de três em cada quatro sites do mundo, segundo a W3Techs. Todo site em WordPress usa PHP. Lojas virtuais, portais de prefeitura, sistemas de escola, blogs, intranets: quase tudo.
O php2shell são duas falhas no coração do PHP (as CVE-2026-109618 e CVE-2026-109619) que deixam um invasor executar comandos no servidor sem senha nenhuma. Na prática, quem explora a falha pode ler o banco de dados, roubar cadastros de clientes, instalar vírus, usar o servidor para atacar outros ou simplesmente apagar tudo. A nota de gravidade é 9,2 numa escala de 10. A empresa watchTowr, que estudou o defeito, dá nota 10.
Linha do tempo: do sigilo ao apagão
- 01/08
A descoberta
Pesquisadores encontram o defeito no núcleo do PHP e avisam os mantenedores em sigilo, para dar tempo de preparar a correção.
- 17/10
Os primeiros robôs
A empresa de segurança SOCRadar registra as primeiras tentativas de exploração, antes mesmo de a correção sair.
- 20/10
O código vaza
A prova de conceito aparece na internet. O PHP antecipa o alerta e avisa: a correção sai no dia seguinte.
- 21/10
Correção e apagão
Saem as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. No mesmo dia o governo federal manda tirar do ar sistemas em PHP: cai o SEI, a Anatel bloqueia o acesso externo, o TRF6 tira do ar PJe e SEI, TRF1 e TRF4 suspendem o SEI externo.
- 23/10
A terceira falha
O PHP revela a CVE-2026-115560, ainda sem correção. A saída provisória é desligar o upload_progress das sessões.
- 26/10
Alerta nos EUA
A agência americana CISA coloca a falha no catálogo de vulnerabilidades exploradas de verdade e dá prazo aos órgãos federais de lá.
- 30/10
Ataque em massa
A Check Point registra exploração ativa. Em 02/11, uma segunda onda junta a falha a outra, que dá controle total da máquina (CVE-2026-123039).
- 05/11
Ainda fora do ar
Sistemas da Agência Nacional de Mineração seguem fora do ar, duas semanas depois do alerta.
- hoje
Robôs não param
Botnets como a Potassium seguem varrendo a internet atrás de servidores sem a correção. Cada site esquecido é uma porta.
Leva 10 segundos. Descubra se o seu site está na lista dos robôs.
Verificar meu siteA crise no Brasil e na imprensa
O Brasil sentiu primeiro e com mais barulho. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos do governo (CISC) emitiu alerta no próprio dia 21, e a orientação do Ministério da Gestão e da Inovação foi direta: tirar do ar os sistemas em PHP até a correção. Caiu o SEI de vários órgãos. A Anatel bloqueou o acesso externo ao seu SEI. O TRF6, em Minas, tirou do ar o PJe e o SEI; o TRF1 e o TRF4 suspenderam o acesso externo ao SEI. Advogados ficaram sem protocolar, prazos foram suspensos e cidadãos ficaram sem acompanhar processos.
Duas semanas depois, em 5 de novembro, sistemas da Agência Nacional de Mineração ainda estavam fora. No exterior, a agência americana CISA colocou a falha na lista das vulnerabilidades exploradas de verdade, e a Check Point passou a registrar ataques em massa a partir de 30 de outubro, com uma segunda onda em 2 de novembro que combina o php2shell com outra falha para tomar a máquina inteira. Pesquisadores relataram ter visto invasores com acesso de administrador total em dezenas de servidores.
A cobertura explodiu, mas quase sempre do ponto de vista do governo. A pergunta que ficou sem resposta para o dono de uma loja, de um consultório ou de uma prefeitura do interior foi a mais simples: e o meu site? É para isso que existe o verificador no topo desta página.
O que a imprensa publicou
Quem corre risco
| Versão do PHP | Situação | O que fazer |
|---|---|---|
| 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 ou mais nova | 🟢 Corrigida | Desligar o upload_progress (3ª falha) e esconder a versão |
| 8.2, 8.3, 8.4 ou 8.5 abaixo disso | 🔴 Vulnerável | Atualizar hoje, dentro do mesmo ramo |
| 8.1 · 8.0 · 7.4 | 🟠 Só correção avulsa | Sem como provar de fora. Migrar para 8.2+ |
| 5.4 até 7.3 | 🔴 Sem correção | Migrar para 8.2 ou mais nova. Não há remendo |
| Wix, Shopify, Squarespace, sites estáticos | ⚪ Não usa PHP | Não é atingido diretamente |
Como se proteger, passo a passo
🏪 Tenho um site e não entendo de servidor
- Faça o teste no topo desta página.
- Mande uma mensagem ao suporte da hospedagem: "Qual a versão exata do PHP do meu site? Ela tem a correção do php2shell (CVE-2026-109618)?"
- Se a resposta for vaga, ou se ninguém cuida do seu site, fale com a gente.
🧑💻 Cuido de servidor
- Atualize o PHP para 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou mais nova) e reinicie o PHP-FPM ou o LiteSpeed.
- No php.ini:
session.upload_progress.enabled = Offeexpose_php = Off. - Procure arquivos .php alterados desde 17/10, crons novos, chaves SSH estranhas e processos desconhecidos.
- Em hospedagem com vários PHPs (CyberPanel, cPanel), atualize TODOS, não só o padrão.
🏛️ Sou de órgão público ou empresa grande
- Faça o inventário: sistemas internos, intranets e "aquele site antigo" também contam.
- Sistema que não pode ser atualizado já deve sair da internet ou ficar atrás de VPN.
- Revise logs desde 17/10 e troque credenciais de quem tinha acesso ao servidor.
Três mitos que deixam o site aberto
O WordPress roda em cima do PHP. A falha está embaixo dele. Atualizar o WordPress não muda o PHP.
Ela barra parte dos ataques, mas quem descobre o endereço real do servidor passa por fora.
Quem ataca são robôs que testam milhões de endereços por dia, sem escolher. Tamanho não importa.
Como o verificador funciona (e o que ele NÃO faz)
O verificador abre a página inicial do site uma única vez, como faria qualquer navegador, e lê o que o próprio site mostra a todo visitante: os cabeçalhos da resposta, o certificado de segurança e a página. Com isso ele identifica a versão do PHP (quando o servidor a exibe), sinais de WordPress e de outros sistemas, a hospedagem e os cabeçalhos de proteção.
Ele não testa a falha, não envia nada malicioso, não procura arquivos escondidos e não guarda o conteúdo do seu site. Por isso, quando a versão está escondida, o resultado é honesto: diz que não dá para saber de fora e mostra como confirmar.
Perguntas frequentes
O que é o php2shell?
É o apelido de duas falhas graves no próprio PHP (CVE-2026-109618 e CVE-2026-109619), a linguagem que roda cerca de três em cada quatro sites do mundo, inclusive todo site em WordPress. Elas deixam um invasor executar comandos no servidor sem senha nenhuma. A nota de gravidade é 9,2 de 10.
Meu site é pequeno. Corro risco?
Sim. O ataque não é feito por uma pessoa escolhendo alvos: são robôs que varrem a internet inteira, endereço por endereço, testando a falha. Site pequeno, de prefeitura, de loja ou de blog entra na mesma fila.
Atualizar o WordPress resolve?
Não. A falha está no PHP, a linguagem que roda POR BAIXO do WordPress. Atualizar o WordPress, o tema ou os plugins não muda a versão do PHP. Quem atualiza o PHP é a hospedagem ou quem administra o servidor.
Quais versões do PHP estão seguras?
As versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 ou mais novas. As versões 8.1, 8.0 e 7.4 receberam só uma correção avulsa, que não muda o número da versão. Do 7.3 para trás não existe correção: é preciso migrar.
O verificador ataca ou invade o meu site?
Não. Ele faz o mesmo que qualquer navegador: abre a página inicial uma vez e lê o que o próprio site mostra (cabeçalhos, certificado e a página). Não testa a falha, não envia nada malicioso e não procura arquivos escondidos.
O resultado deu "versão escondida". É bom ou ruim?
Esconder a versão é uma boa prática, mas impede saber de fora se a correção foi aplicada. Pergunte à sua hospedagem qual a versão exata do PHP do site: ela precisa ser uma das versões corrigidas.
Existe uma terceira falha?
Sim. Em 23/10 o PHP revelou a CVE-2026-115560, que ainda não tem correção. A defesa é desligar uma opção do PHP: session.upload_progress.enabled = Off. Quem cuida do servidor consegue fazer isso em minutos.
A Cloudflare protege meu site?
Ajuda, porque barra parte dos ataques conhecidos. Mas não substitui a atualização: se alguém descobre o endereço real do servidor, chega direto nele, por fora da Cloudflare.
Como sei se meu site já foi invadido?
Sinais comuns: arquivos .php novos ou alterados desde 17/10/2026, usuários administradores que você não criou, tarefas agendadas estranhas, o site redirecionando para páginas de aposta ou remédio, e o Google avisando que o site é perigoso. Se aparecer algo assim, fale com a gente.
