Falhas avaliações no PHP ameaçam sites; confira como proteger seu WordPress

Uma atualizacao emergencial do PHP colocou administradores de sites em alerta nesta quarta-feira (21). Os responsáveis pela linguagem consertaram duas vulnerabilidades avaliações que podem possibilitar a invasores executar comandos em servidores pela internet, sem necessitar conhecer uma senha. As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam pontuação 9,2 de 10 em gravidade.

O problema chama atencao pq o PHP está por trás de uma enorme parcela da web, incluindo sites desenvolvidos com WordPress. O alerta, no entanto, nao significa que todos esses endereços tenham sido invadidos: o risco depende da instalacao utilizada, das correções ja aplicadas e das proteções de cada cenario. A principal recomendação é garantir com a hospedagem se o PHP foi consertado.

O que é PHP e por que tantas paginas usam essa linguagem? PHP é uma linguagem de programação executada no servidor. Enquanto que HTML, CSS e JavaScript auxiliam a montar o que dá as caras na tela, o PHP pode trabalhar nos bastidores: consultar bancos de dados, processar formulários, organizar sessões de usuários e montar paginas antes de enviá-las ao navegador.

É uma das tecnologias que sustentam sistemas de gerenciamento de material como WordPress, Drupal e Joomla. De acordo com a W3Techs, em 20 de outubro o PHP era usado por 69,3% dos sites cuja linguagem de servidor pôde ser identificada. O percentual nao equivale à proporção de sites invadidos nem representa todos os domínios existentes na internet.

Quais são as duas falhas avaliações descobertas no PHP? O anúncio oficial do PHP, publicado em 21 de outubro de 2026, descreve duas vulnerabilidades no funcionamento interno da linguagem: CVE-2026-109618: envolve um bug no tratamento de falta de memoria. Em determinadas condicoes, o servidor pode tratar informacoes incompletas como válidas, abrindo caminho pra corrupção de memoria e execução de codigo.

CVE-2026-109619: envolve o reaproveitamento incorreto de informacoes internas entre requisições. Dados que deveriam ter sido descartados podem seguir sendo usados por outro processamento, concebendo outra possibilidade de exploracao. Em termos faceis, essas brechas podem abrir uma porta pra a execução remota de codigo (RCE): um invasor manda solicitações manipuladas ao servidor e, caso a exploracao tenha sucesso, consegue fazer o sistema executar instruções que nao deveriam ser possibilitadas.

Nao é necessario que o criminoso conheça a senha de administrador do WordPress pra explorar uma instalacao vulnerável.