Adicionar como fonte preferencial no Google
Em 21 de outubro de 2026, duas vulnerabilidades críticas do PHP, conhecidas coletivamente como PHP2Shell, foram divulgadas publicamente. Essas vulnerabilidades poderiam permitir que invasores executassem código malicioso nos servidores afetados sem necessidade de autenticação. A equipe de desenvolvimento do PHP lançou atualizações de segurança emergenciais no mesmo dia para corrigi-las.
Se o seu site WordPress está hospedado na Kinsta, ele está protegido contra o PHP2Shell. Nossas equipes de engenharia e segurança implementaram as atualizações de segurança necessárias do PHP em toda a nossa plataforma de hospedagem, incluindo os ambientes de produção e os ambientes de teste. Não encontramos evidências de violações de segurança relacionadas a essas vulnerabilidades.
Veja o que você precisa saber sobre o PHP2Shell, como lidamos com as vulnerabilidades e como verificar as configurações de PHP do seu site.
O que é PHP2Shell?
PHP2Shell se refere a duas vulnerabilidades do PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam uma classificação de gravidade crítica de 9,2 no CVSS 4.0.
As vulnerabilidades afetam a maneira como o PHP gerencia a memória ao processar solicitações. Se essas vulnerabilidades fossem exploradas, um invasor poderia executar código malicioso em um servidor, comprometendo potencialmente os sites e os dados hospedados nele.
Como o WordPress é executado em PHP, essas vulnerabilidades também representavam um risco para sites WordPress que utilizavam versões afetadas do PHP.
Diferentemente das vulnerabilidades encontradas em um plugin, tema ou no núcleo do WordPress, o PHP2Shell afeta o próprio ambiente de execução do PHP. Isso significa que atualizar o WordPress ou seus plugins não resolveria o problema. Era necessário aplicar correções ao software PHP do servidor.
A equipe do PHP lançou correções para as versões 8.2, 8.3, 8.4 e 8.5 em 21 de outubro. As versões mais antigas do PHP receberam correções de segurança fornecidas por mantenedores de terceiros.
Para os clientes da Kinsta, realizamos essas atualizações no nível da hospedagem, sem exigir alterações nas instalações individuais do WordPress.
Como a Kinsta respondeu ao PHP2Shell
Nossas equipes de engenharia e segurança começaram a se preparar para o PHP2Shell antes que as correções oficiais de segurança estivessem disponíveis. Nossa resposta envolveu a implementação de medidas de proteção para reduzir o risco de exploração das vulnerabilidades, seguida pela implantação das versões corrigidas do PHP à medida que eram lançadas.
Bloqueio de tentativas de exploração com o Cloudflare
Uma de nossas primeiras prioridades foi proteger os sites enquanto preparávamos as correções do PHP. A Kinsta utiliza o Web Application Firewall (WAF) do Cloudflare para ajudar a identificar e bloquear solicitações maliciosas antes que elas cheguem aos sites hospedados na nossa plataforma.
Antes da divulgação do PHP2Shell, o Cloudflare implementou novas proteções de firewall desenvolvidas para detectar tentativas de exploração dessas vulnerabilidades. Nossa equipe ativou as proteções relevantes em toda a nossa infraestrutura de hospedagem.
Como resultado, nossos firewalls na borda já estavam bloqueando tentativas de exploração do PHP2Shell enquanto aguardávamos as correções do PHP e durante sua implementação.
Também aplicamos alterações adicionais nas configurações do PHP em nossos ambientes de hospedagem para reduzir a possível exposição às vulnerabilidades. Durante todo o incidente, mantivemos contato próximo com nosso parceiro de Proteção contra Vulnerabilidades, a Patchstack, compartilhando informações sobre as ameaças e os padrões de ataque observados.
Essas medidas ajudaram a proteger os sites enquanto preparávamos as atualizações, mas não substituíam a necessidade de aplicar as correções ao próprio PHP.
Aplicação das atualizações de segurança do PHP
Quando a equipe do PHP lançou as correções, nossa equipe de engenharia começou a validar e implementar os pacotes corrigidos do PHP em toda a plataforma.
Implementamos atualizações de segurança para as versões do PHP de 7.4 a 8.5, incluindo correções para versões mais antigas fornecidas pela Freexian, nosso provedor de pacotes PHP.
Como gerenciamos o PHP no nível da plataforma, os clientes não precisaram instalar as correções nem alterar manualmente a versão do PHP. Nossa equipe realizou as atualizações em toda a infraestrutura de hospedagem, mantendo as proteções adicionais do Cloudflare ativas.
Em 22 de outubro de 2026, às 08h26 UTC, marcamos o incidente como resolvido em nossa página pública de status, confirmando que todos os sites estavam protegidos e que as atualizações de segurança haviam sido implementadas em toda a plataforma.
Durante todo o incidente, nossa equipe monitorou atividades suspeitas, verificou manualmente os sites que aparentemente estavam sendo alvos de ataques e continuou realizando verificações pontuais nos ambientes de hospedagem em busca de sinais de comprometimento. Não encontramos evidências de violações de segurança bem-sucedidas relacionadas ao PHP2Shell.
Você pode consultar as atualizações publicadas durante todo o processo de resposta em nossa página de status do incidente de segurança do PHP.
Os clientes da Kinsta precisam tomar alguma medida?
Não. Se o seu site WordPress está hospedado na Kinsta, já aplicamos as atualizações de segurança necessárias.
Você não precisa alterar sua versão do PHP, instalar uma correção separada ou tirar seu site do ar por causa do PHP2Shell. As proteções também abrangem seus ambientes de teste.
Se você suspendeu algum ambiente como medida de precaução enquanto corrigíamos as vulnerabilidades, já pode reativá-lo. Nossa equipe também realizou as atualizações de segurança necessárias nos ambientes suspensos.
Você ainda deve manter sua instalação do WordPress, seus plugins e temas atualizados como parte da manutenção regular do site. No entanto, essas atualizações são independentes das correções do PHP2Shell, que já aplicamos no nível da hospedagem.
Onde encontrar atualizações e obter ajuda
Se você gerencia sites WordPress para clientes, pode compartilhar com eles nosso relatório oficial do incidente de segurança do PHP. Ele documenta as atualizações que realizamos à medida que as versões corrigidas do PHP ficaram disponíveis e confirma a resolução do incidente.
Se você tiver dúvidas sobre um site específico ou quiser confirmar o status de segurança dele, poderá entrar em contato com nossa equipe de suporte diretamente pelo MyKinsta. Nossa equipe está disponível 24 horas por dia, 7 dias por semana, para ajudar.
Para obter mais informações, consulte nosso guia sobre como entrar em contato com o Suporte da Kinsta.
