---
title: "PHP2Shell: a falha crítica no PHP e como atualizar o PHP da sua loja WooCommerce"
description: "Falha crítica no PHP (PHP2Shell) permite invadir sites sem senha. Veja as versões corrigidas e como atualizar o PHP da loja WordPress e WooCommerce."
url: "https://rishi.com.br/blog/php2shell-atualizar-php-wordpress"
published: "2026-10-21T14:30:51+00:00"
updated: "2026-10-21T14:30:51+00:00"
tags: ["Segurança", "WooCommerce", "Plataforma"]
reading_time: "7 min"
---

# PHP2Shell: a falha crítica no PHP e como atualizar o PHP da sua loja WooCommerce

> Duas falhas críticas no próprio PHP, apelidadas de PHP2Shell, permitem invadir sites sem login. Não é falha de plugin nem do WooCommerce: a correção é atualizar o PHP do servidor. Veja os riscos, as versões corrigidas e como conferir a sua loja.

Em 21 de outubro de 2026, o PHP corrigiu duas falhas críticas que permitem a um invasor executar código no servidor sem precisar de login. A falha está no próprio PHP, a linguagem em que o WordPress e o WooCommerce rodam, e não em plugins, temas ou no WooCommerce. A correção é atualizar o PHP do servidor para uma das versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.

Este artigo explica o que aconteceu, quais são os riscos para uma loja virtual e como conferir e corrigir a sua.

## O que é o PHP2Shell

PHP2Shell é o apelido dado a duas vulnerabilidades no núcleo do PHP, registradas como CVE-2026-109618 e CVE-2026-109619. As duas receberam nota 9,2 de 10 na escala de gravidade CVSS 4.0, a faixa de falhas críticas.

Segundo o [aviso de segurança do PHP](https://www.php.net/), as duas permitem execução remota de código sem autenticação: um único pedido enviado ao site pode dar ao invasor o controle do servidor, antes de o WordPress ou qualquer plugin chegar a ser carregado. Detalhes das falhas vazaram em 20 de outubro, um dia antes da correção oficial, o que acelerou os ataques.

## A falha é no PHP, não nos plugins

Esse ponto muda o que você precisa fazer. Atualizar plugins, temas, o WordPress ou o WooCommerce não corrige o PHP2Shell, porque nenhum deles tem a falha. Ela está uma camada abaixo, no interpretador que executa todo o código do site.

Pense na loja como uma pilha:

1. **Servidor**: a máquina onde a loja está hospedada.
2. **PHP**: a linguagem que roda tudo o que vem acima. **É aqui que está a falha.**
3. **WordPress e WooCommerce**: o sistema da loja.
4. **Plugins e tema**: checkout, frete, pagamento, layout.

![Ilustração 3D isométrica de uma pilha de quatro camadas: na base, servidores; logo acima, um bloco violeta com uma rachadura vermelha e um sinal de alerta sendo consertado por um técnico com chave inglesa; acima, o bloco do site; no topo, peças de quebra-cabeça coloridas que representam os plugins e um carrinho de compras, todas intactas.](https://assets.rishi.com.br/blog/rishi/2026/10/corpo-rh2pn8bo.webp)

Como a falha está no PHP, qualquer site em PHP fica exposto, seja qual for a plataforma: WordPress, Drupal, Joomla ou um sistema próprio. Pesquisadores da Wiz, que relataram as falhas ao PHP, demonstraram o ataque contra a versão mais recente do WordPress.

## Quais são os riscos para uma loja virtual

Quem controla o servidor controla a loja. Na prática, o invasor pode:

- **ler dados de clientes e pedidos**: nomes, e-mails, endereços, CPF e telefones, o que envolve a LGPD;
- **alterar a página de pagamento** para desviar pagamentos ou capturar dados digitados;
- **instalar programas escondidos** (backdoors) que continuam lá depois da correção;
- **usar a loja para enviar spam ou atacar outros sites**, o que pode tirar o domínio das buscas;
- **tirar a loja do ar** às vésperas da Black Friday.

Os ataques já começaram. A Cloudflare informou que estava vendo as primeiras tentativas em 21 de outubro, e a [Patchstack](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/), empresa de segurança para WordPress, recebeu relatos de invasões de empresas de hospedagem parceiras no mesmo dia.

## Quais versões do PHP estão corrigidas

As versões corrigidas saíram em 21 de outubro de 2026:

| Versão que a loja usa | Atualizar para | Observação |
|---|---|---|
| PHP 8.5 | 8.5.12 | |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | o suporte ao 8.2 termina em 31/12/2026 |
| PHP 8.1 ou anterior | 8.3 ou mais nova | sem atualização oficial do PHP |

O PHP 8.1 e as versões anteriores não recebem mais atualizações do projeto. Algumas hospedagens e distribuições de Linux aplicam a correção por conta própria, mas a saída segura é migrar para uma versão suportada. Antes de mudar de versão principal, teste a loja, porque plugins antigos podem não funcionar no PHP mais novo.

## Como conferir a versão do PHP da sua loja

No painel do WordPress, vá em **Ferramentas → Saúde do site → Informações** e abra a seção **Servidor**. A linha "Versão do PHP" mostra o número completo. O painel da hospedagem (cPanel ou o painel próprio do provedor) também mostra a versão.

Se o número for menor que os da tabela acima, a loja está vulnerável.

## Como atualizar o PHP no WordPress

Quem atualiza o PHP é quem cuida do servidor, não o painel do WordPress. Na maioria dos casos:

1. **Hospedagem compartilhada ou gerenciada**: abra um chamado pedindo a atualização para a versão corrigida e pergunte se ela já foi aplicada. Muitas hospedagens oferecem a troca de versão no próprio painel, mas a versão corrigida precisa estar disponível lá.
2. **Servidor próprio ou VPS**: atualize os pacotes do PHP pelo gerenciador do sistema e reinicie o PHP-FPM ou o servidor web. Quem usa o repositório remi deve conferir se a versão corrigida já chegou, porque ele não teve atualização no dia da correção.
3. **Depois da atualização**: confira de novo a versão em Saúde do site e faça uma compra de teste com Pix e cartão.

Desconfie de plugins que prometem "corrigir o PHP2Shell" e de trechos de código copiados da internet. A Patchstack alerta que eles não são verificados e podem quebrar o site. Plugin nenhum corrige uma falha do PHP.

## O que fazer se não der para atualizar hoje

Se a hospedagem ainda não tem a versão corrigida, há medidas que reduzem o risco, mas não resolvem:

- **Cloudflare**: quem usa a Cloudflare na frente da loja tem regras de firewall contra os ataques conhecidos, inclusive no plano gratuito. Elas só protegem se o servidor aceitar tráfego apenas da Cloudflare.
- **Ajustes no php.ini**: o aviso do PHP lista configurações temporárias, como desligar `session.upload_progress.enabled`, para a pessoa que administra o servidor aplicar.

O próprio PHP afirma que só a atualização corrige o problema. Se você notar arquivos estranhos, usuários administradores que não criou ou pedidos com dados de pagamento alterados, trate o servidor como invadido: peça uma análise à hospedagem e troque as senhas do painel, do banco de dados e das integrações.

## Quem cuida disso na sua loja

O PHP2Shell expôs uma pergunta que muitos lojistas só fazem no dia do problema: quem atualiza o servidor da loja? Numa loja montada peça por peça, a resposta costuma ser "a hospedagem, quando eu pedir" ou "o programador, quando ele puder". O post sobre [suporte para e-commerce](/blog/suporte-para-e-commerce) mostra como avaliar esse ponto antes da próxima falha.

Na [plataforma da Rishi](/plataforma), a loja roda em WooCommerce e a hospedagem, as atualizações e a segurança ficam com a equipe da Rishi. O PHP de todas as lojas da plataforma já foi atualizado para a versão corrigida, sem que os lojistas precisassem abrir chamado ou mexer em nada. É a mesma equipe que desenvolve os plugins do [fernandoacosta.net](https://fernandoacosta.net), usados por mais de 7 mil lojas, há mais de 14 anos.

Quem usa o Checkout Rishi ou os plugins da Rishi na própria hospedagem não precisa atualizar o plugin por causa do PHP2Shell, porque a falha não está nele, mas precisa confirmar com a hospedagem que o PHP do servidor já foi corrigido.

## O que fazer agora

1. Confira a versão do PHP em Ferramentas → Saúde do site → Informações → Servidor.
2. Compare com a tabela de versões corrigidas.
3. Se estiver abaixo, peça a atualização à hospedagem hoje e confirme depois.
4. Faça uma compra de teste quando a atualização terminar.

Com a Black Friday a um mês, vale incluir a versão do PHP no [checklist de Black Friday](/blog/checklist-black-friday-woocommerce) da loja.

## Perguntas frequentes

### O PHP2Shell é uma falha do WooCommerce ou de algum plugin?

Não. A falha está no próprio PHP, a linguagem que roda o WordPress e o WooCommerce. Atualizar plugins, tema ou WooCommerce não corrige o problema; é preciso atualizar o PHP do servidor.

### Quais versões do PHP corrigem o PHP2Shell?

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35, lançadas em 21 de outubro de 2026. O PHP 8.1 e versões anteriores não recebem atualização oficial.

### Como saber a versão do PHP da minha loja WordPress?

No painel do WordPress, em Ferramentas → Saúde do site → Informações, seção Servidor, na linha Versão do PHP. O painel da hospedagem também mostra a versão.

### Existe plugin que corrige o PHP2Shell?

Não. Nenhum plugin corrige uma falha do PHP. Plugins e códigos que prometem a correção não são verificados e podem quebrar o site; a correção é a atualização do PHP feita no servidor.