Versão do PHP na Hostinger: como ver, como trocar e o status do PHP2Shell

Meu site na Hostinger é afetado pelo PHP2Shell?

Um site na Hostinger é afetado pelo PHP2Shell se o build do PHP for mais antigo que a versão corrigida do seu ramo e nenhuma outra proteção o cobrir. O PHP2Shell são duas falhas críticas no próprio PHP, a CVE-2026-109618 e a CVE-2026-109619, e valem para sites em PHP em qualquer lugar, não só numa hospedagem. Nos planos gerenciados da Hostinger, quem instala o PHP é a Hostinger; numa VPS, é você. As versões corrigidas são:

O verificador PHP2Shell explica como ler a sua versão.

A Hostinger já corrigiu o PHP para o PHP2Shell?

A Hostinger diz que está instalando o PHP corrigido em toda a hospedagem gerenciada e que nos planos que não são VPS não é preciso fazer nada. Até 22 de outubro de 2026 não vimos confirmação de que todos os servidores foram concluídos. Não encontramos um comunicado próprio da Hostinger Brasil: os avisos abaixo são globais e em inglês (horários de Brasília).

• Página de status (21/10/2026, 14h44): em PHP Security Update Across Managed Hosting Plans, a Hostinger disse que seus testes não encontraram vulnerabilidade ao PHP2Shell na plataforma, que adicionou uma camada extra de proteção e que instalaria versões corrigidas do PHP mesmo assim. Nenhuma ação do cliente era necessária.
• Página de status (16h12): a atualização estava concluída na Agency Hosting e continuava nos demais servidores de hospedagem gerenciada.
• Página de status (22/10/2026, 00h34): todos os servidores cPanel foram atualizados para o build mais recente do cPanel, que segundo a Hostinger inclui a correção do PHP (build 138.18), e para a versão mais recente do Alt-PHP. O incidente seguia aberto, com status “identified”.
• Blog (21/10/2026): o post Hostinger deploys protections against php2shell PHP vulnerabilities lista as medidas: regras de firewall e ModSecurity em modo de bloqueio, session.upload_progress desligado no LiteSpeed, no PHP Selector, em ambientes cPanel com PHP-FPM e no phpMyAdmin, e rejeição de requisições de upload malformadas. O post diz que as versões corrigidas foram instaladas e que os clientes receberam e-mail.

Planos VPS são diferentes. O blog da Hostinger diz que as proteções no nível do servidor não valem para VPS, porque nesses planos o cliente gerencia o PHP. Se você tem uma VPS, atualize o PHP por conta própria (guia para Ubuntu); as medidas temporárias estão na página de mitigação.

Como vejo a versão do PHP na Hostinger?

A versão do PHP fica na página Configuração PHP do hPanel. O artigo da central de ajuda Como Alterar a Versão do PHP do Seu Plano de Hospedagem Hostinger indica o caminho:

1. No hPanel, vá em Sites.
2. Clique em Gerenciar ao lado do site.
3. Na barra lateral, clique em Configuração PHP.

Essa página mostra o ramo escolhido. Para ver o build exato, confira o que o site informa: no WordPress, em Ferramentas → Saúde do site → Informações → Servidor. O verificador de versão do PHP explica o número.

Como troco para uma versão corrigida do PHP na Hostinger?

Nos planos gerenciados você não instala o build corrigido; quem faz isso é a Hostinger. Você escolhe o ramo. Na página Configuração PHP, selecione a versão e clique em Atualizar; segundo a Hostinger, a troca vale depois de alguns minutos (ajuda da Hostinger).

Dois detalhes importam:

• O artigo em português diz que a troca vale para todos os sites do plano.
• A versão em inglês do mesmo artigo (Hostinger help) diz que sites novos podem escolher o PHP 8.2 a 8.5 e que as versões 8.1 e anteriores não aparecem no painel.

Faça backup e confira a compatibilidade do tema e dos plugins antes de trocar de ramo. Segundo o blog da Hostinger, dá para voltar à versão anterior na mesma sessão se algo quebrar.

E os sites WordPress na Hostinger?

No WordPress, a correção do PHP2Shell vem do PHP, não do WordPress. Atualizar o WordPress, o tema ou os plugins não corrige a falha. Depois da atualização, abra Ferramentas → Saúde do site → Informações → Servidor e compare a versão do PHP com a tabela acima. Veja PHP2Shell e WordPress.

O que devo perguntar ao suporte da Hostinger?

Fale com o suporte se o seu site num plano gerenciado ainda mostrar uma versão abaixo da corrigida depois da atualização. Pergunte qual build exato do PHP o site usa, se ele inclui a correção da CVE-2026-109618 e da CVE-2026-109619, se os processos (workers) do PHP foram reiniciados e, se o seu servidor ainda não foi atualizado, quando será. Há uma mensagem pronta no guia de correção do PHP2Shell. Use o chat de suporte dentro do hPanel, não links em e-mails inesperados.

E se o meu site na Hostinger usa PHP antigo?

PHP antigo depende dos builds da própria Hostinger. O PHP não publica novas versões para o 8.1 e anteriores, só patches mínimos de código-fonte para 7.4, 8.0 e 8.1. O blog da Hostinger diz que sites em versões antigas continuam cobertos pelas mesmas proteções e que o fornecedor de PHP da Hostinger se comprometeu a entregar builds corrigidos de todas as versões, do 5.2 ao 8.5, na hospedagem Web, Cloud e cPanel. Segundo o post, a Agency Hosting já roda builds corrigidos. Até 22 de outubro de 2026 não confirmamos que esses builds foram instalados. O aviso do PHP lembra que o PHP 8.2 chega ao fim do suporte em 31 de dezembro de 2026, então planeje a atualização: veja fim do suporte do PHP.