Falha crítica no PHP: o que o dono de site precisa checar agora

Na quarta-feira (21/10/2026) e na quinta-feira (22/10/2026), uma falha crítica no PHP colocou governos, tribunais e serviços públicos em alerta no mundo inteiro. No Brasil, a Anatel precisou tirar do ar temporariamente o SEI, sistema usado para processos administrativos. Se você tem um site para o seu negócio, vale entender o que aconteceu e o que pode ser feito de forma prática.

O que é a falha crítica no PHP e por que ela importa para o seu site

O PHP é a linguagem que faz muitos sites funcionarem por trás da tela. Ele é o que verifica sua senha, carrega o histórico de uma loja virtual e atualiza informações em tempo real. Um site estático, por outro lado, funciona como um panfleto digital: mostra o mesmo texto para qualquer visitante.

Por isso, uma brecha no PHP afeta sistemas de gestão de conteúdo como o WordPress, muito usado por blogs e sites de pequenos negócios. As matérias analisadas divergem sobre o tamanho do uso: uma diz que o PHP está na base de mais de metade da internet, outra fala em quase 70% do que acessamos. Nos dois casos, o ponto central é o mesmo: o problema está na base da linguagem, e não em um site específico ou em um plugin.

O que se sabe até agora sobre a falha

As vulnerabilidades receberam os códigos CVE-2026-109618 e CVE-2026-109619.
Elas permitem executar código remotamente no servidor sem necessidade de senha, segundo o UOL.
Pesquisadores das empresas Wiz e Calif usaram modelos de inteligência artificial para encontrar as falhas, que passaram despercebidas por mais de uma década.
Governos e serviços de diversos países, incluindo Reino Unido, Holanda, Finlândia e França, tiraram portais do ar por precaução.

Algumas informações não batem entre as matérias. Uma delas diz que as equipes ainda tentavam aplicar as correções. Outra afirma que os desenvolvedores do PHP já tinham liberado atualizações na quarta-feira (21/10). Também há diferença sobre os tribunais afetados: uma matéria cita os TRFs da 1ª, 4ª e 6ª regiões, enquanto outra menciona apenas o TRF-1 e o TRF-6. Sobre o alcance, uma reportagem cita a estimativa de que milhões de sites podem ser atingidos, mas um especialista brasileiro lembra que muitas tentativas de varredura não significam invasões bem-sucedidas.

Como a inteligência artificial muda o jogo da segurança

A mesma ferramenta que ajuda a encontrar brechas para proteger sistemas pode ser usada por criminosos para automatizar ataques. Segundo especialistas ouvidos pelas matérias, a IA reduz o tempo entre descobrir uma falha e transformá-la em ataque.

Também houve vazamento de detalhes técnicos antes do prazo de divulgação. Isso acelerou varreduras automatizadas. Para o dono de um pequeno negócio, a lição não é entrar em pânico, e sim agir com calma e rapidez: conferir a situação do seu site e falar com quem cuida dele.

Checklist: o que verificar no seu site agora

1. Pergunte ao seu provedor qual versão do PHP está em uso

Se o seu site roda em hospedagem compartilhada e o provedor administra o PHP, a correção é responsabilidade dele. Pergunte se o ambiente já foi atualizado e peça a confirmação.

2. Não confie só na atualização de plugins

Atualizar plugins do WordPress é importante, mas não resolve uma falha que está na linguagem. Por isso, a pergunta certa é sobre o servidor.

3. Confirme se o site está funcionando normalmente

Se o seu site ficou fora do ar sem aviso, formulário travado ou login com problema, registre o que aconteceu e acione o suporte da hospedagem.

4. Desconfie de mensagens sobre a falha

Criminosos costumam aproveitar a repercussão de um caso como este. Antes de clicar em qualquer link ou informar senhas, confirme a informação diretamente com o serviço que você usa.

5. Acompanhe os avisos dos serviços que você utiliza

Plataformas e provedores costumam publicar orientações sobre correções. Ficar atento a esses avisos evita decisões no escuro.

Responsabilidade: provedor, dono do site e dados dos clientes

Terceirizar a hospedagem não tira do dono do negócio a responsabilidade sobre os dados dos seus clientes. Por isso, vale ter claro quem cuida do servidor, quem responde por atualizações e a quem recorrer quando algo sair do esperado.

Perguntas frequentes

Quanto custa um site?

Depende de páginas, integrações e conteúdo. O valor fechado sai no diagnóstico.

O site fica no meu nome?

Sim. O domínio e o conteúdo são do cliente.

Você faz a manutenção depois?

Sim, em plano mensal, com blog e Google Meu Negócio. O escopo é conversado no diagnóstico.

Quer uma leitura do seu cenário?

Você pode solicitar um diagnóstico gratuito para conversar sobre o seu cenário. Para verificar a segurança do servidor, entre em contato com o seu provedor.

Quero meu diagnóstico gratuito