Como verificar se o seu site foi hackeado depois do PHP2Shell

Existem indicadores oficiais de invasão pelo PHP2Shell?

Até 22 de outubro de 2026, o PHP não publicou uma lista definitiva de indicadores específicos do PHP2Shell. Numa thread de monitoramento no X, os pesquisadores da Wiz sugeriram observar requisições multipart incomuns seguidas de erros de limite de memória ou respostas HTTP 500, cookies de sessão PHPSESSID malformados e workers do PHP reiniciando com frequência fora do normal. Várias agências nacionais também recomendam procurar backdoors. Trate esses sinais como pistas a investigar, não como prova. As verificações abaixo procuram os sinais habituais de que um site foi tomado.

O que fazer antes de verificar?

Instale a correção do PHP2Shell e reinicie o PHP. Verificar um site que continua vulnerável só fala do passado. Se houver dano visível acontecendo agora (página desfigurada, spam, redirecionamentos), tire o site do ar primeiro.

Como verifico se o meu site foi hackeado?

Procure mudanças que você não fez:

1. Administradores que você não reconhece. No WordPress, abra Usuários e filtre por Administrador. Confira também as contas da hospedagem, de FTP/SFTP e do banco de dados.
2. Arquivos PHP onde não deveriam estar. Pastas de upload como wp-content/uploads deveriam guardar imagens e documentos. Um arquivo .php ali é um sinal de alerta forte.
3. Arquivos alterados recentemente que você não mexeu. Ordene os arquivos pela data de modificação no gerenciador de arquivos e examine com atenção tudo o que mudou desde o anúncio das vulnerabilidades.
4. Plugins, temas ou plugins obrigatórios (must-use) que você não instalou. Confira a pasta wp-content/mu-plugins, que não aparece na lista normal de plugins.
5. Tarefas agendadas que você não criou. Confira os cron jobs no painel da hospedagem; atacantes os usam para reinstalar backdoors.
6. Avisos de fora. Alertas do seu provedor de hospedagem, problemas de segurança no Google Search Console ou relatos de spam ou redirecionamentos a partir do seu domínio.
7. Logs, se você os tiver: requisições estranhas, picos de erro ou travamentos perto da data da divulgação.

Um arquivo PHP desconhecido prova que foi o PHP2Shell?

Não. Um arquivo, uma conta ou um redirecionamento sem explicação é evidência de um problema, não de qual vulnerabilidade o causou. Investigue de qualquer forma.

O que faço se encontrar alguma coisa?

Siga esta ordem e guarde uma cópia antes de apagar qualquer coisa:

1. Tire o site do ar ou bloqueie o acesso público.
2. Preserve as evidências: cópias dos arquivos suspeitos, logs e um snapshot, anotando os horários.
3. Troque todas as senhas a partir de um dispositivo limpo: hospedagem, FTP/SFTP, banco de dados, todas as contas de administrador e também as chaves secretas e os tokens de API do site.
4. Restaure um backup feito antes da invasão, ou reconstrua a partir de fontes confiáveis, e atualize o PHP, a aplicação, os temas e os plugins antes de colocar o site no ar.
5. Avise o seu provedor de hospedagem e quem mais você for obrigado a notificar se dados pessoais ou de pagamento puderem estar envolvidos.

Instalar a correção remove o invasor?

Não. A correção fecha a brecha; ela não remove um backdoor, uma conta indevida nem credenciais roubadas. Como a pesquisa também descreve vazamento de memória, uma verificação de arquivos sem nada suspeito também não descarta a exposição de dados.

Devo procurar ajuda profissional?

Sim, se o site lida com pagamentos ou dados pessoais, se você não encontra um backup limpo, se o problema volta depois da limpeza ou se não tem certeza de até onde a invasão chegou. Uma equipe profissional de resposta a incidentes consegue dimensionar o estrago direito.

Meu site foi hackeado só porque o PHP estava vulnerável?

Não necessariamente. A Cloudflare relatou tentativas de ataque, mas nenhuma invasão bem-sucedida foi confirmada nas fontes que consultamos até 22 de outubro de 2026. Isso também não prova que o seu site está limpo. Verifique, não suponha. Voltar ao verificador PHP2Shell.

Quais fontes embasam esta página?

• Wiz Research: orientações de monitoramento (thread no X)
• Wiz Research: pesquisa original
• CISA: playbooks de resposta a incidentes e vulnerabilidades
• CISA/FBI: alerta com orientações de defesa contra web shells
• The PHP Group: boletim de segurança
• Cloudflare: proteções do WAF