Meu site na KingHost é afetado pelo PHP2Shell?
Um site na KingHost é afetado pelo PHP2Shell se roda um build do PHP mais antigo que a versão corrigida do seu ramo. O PHP2Shell são duas falhas críticas no próprio PHP, a CVE-2026-109618 e a CVE-2026-109619, e valem para qualquer site em PHP, inclusive WordPress. Na hospedagem da KingHost, quem instala o PHP é a KingHost. A sua parte é conferir a versão que o site usa e comparar com esta tabela:
| Ramo | Primeira versão corrigida |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 e anteriores | Sem versão nova; patches oficiais de código-fonte para 7.4, 8.0 e 8.1 |
O verificador PHP2Shell explica como ler a versão.
O que a KingHost disse sobre o PHP2Shell?
A KingHost publicou um aviso na sua página de status em 21 de outubro de 2026, às 15h37 (horário de Brasília): Segurança PHP - Desativação do recurso session.upload_progress devido a publicação de CVEs. O aviso está ligado ao componente Hospedagem e diz que:
- Na manhã de 21 de outubro, a KingHost estava aplicando atualizações ligadas à CVE-2026-109618 e à CVE-2026-109619.
- O primeiro passo é desativar o recurso
session.upload_progressdo PHP. - A medida vale “até que seja divulgada a correção definitiva”, para reduzir o risco.
- O upload continua funcionando, mas barras de progresso de upload na tela deixam de funcionar.
Quando verificamos, em 22 de outubro de 2026, o aviso estava com status Monitoring, sem atualizações posteriores. Ele não diz se os builds corrigidos do PHP já foram instalados nem traz prazo para isso.
Desativar o session.upload_progress é uma medida temporária, não a correção. O PHP diz que ela bloqueia só caminhos confirmados de uma das falhas; veja a página de mitigação do PHP2Shell.
Como vejo a versão do PHP na KingHost?
Você vê a versão escolhida no Painel de Controle KingHost, na ferramenta Configuração PHP. Para ver o build exato, a KingHost sugere um arquivo com phpinfo() (Como verificar a versão de PHP do meu site): você cria o arquivo na pasta www pelo FTP e o abre no navegador. Esse arquivo expõe detalhes do servidor, então apague-o logo depois de conferir.
No WordPress é mais simples: Ferramentas → Saúde do site → Informações → Servidor mostra a versão que o site realmente usa. O verificador de versão do PHP explica o número.
Como troco para uma versão corrigida do PHP na KingHost?
Na hospedagem da KingHost você escolhe o ramo, e a KingHost instala os builds. Segundo o artigo Como alterar a versão do PHP de meu site:
- Acesse o Painel de Controle KingHost.
- Clique em Configuração PHP.
- Use o seletor para escolher a versão do PHP.
- Clique em CONFIGURAR para salvar.
O artigo, atualizado em agosto de 2025, lista apenas as versões 5.6, 7.0, 7.1, 7.2 e 7.3, o que parece desatualizado. Escolha um ramo suportado (8.2 a 8.5) se ele aparecer no seletor, e faça backup antes de trocar de ramo. Se você tem uma VPS e administra o servidor, a atualização do PHP é sua: instale o build corrigido e reinicie o PHP.
E os sites WordPress na KingHost?
No WordPress, a correção do PHP2Shell vem do PHP. Atualizar o WordPress, o tema ou os plugins não corrige a falha. Depois que a KingHost confirmar a atualização, abra Ferramentas → Saúde do site → Informações → Servidor e compare a versão do PHP com a tabela acima. Se a barra de progresso de upload sumiu, é efeito da medida temporária. Mais em PHP2Shell e WordPress.
O que devo perguntar ao suporte da KingHost?
Pergunte ao suporte, pelos canais do seu painel:
- Qual build exato do PHP o seu site usa.
- Se esse build já inclui a correção da CVE-2026-109618 e da CVE-2026-109619, ou se só a desativação do
session.upload_progressfoi aplicada. - Se os processos (workers) do PHP foram reiniciados.
- Quando o seu servidor recebe os builds corrigidos, se ainda não recebeu.
Há uma mensagem pronta no guia de correção do PHP2Shell. Acompanhe a página de status da KingHost e desconfie de e-mails que pedem login por link.
E se o meu site na KingHost usa PHP antigo?
Os ramos antigos são o caso mais difícil. O PHP não publica novas versões para o 8.1 e anteriores, só patches mínimos de código-fonte para 7.4, 8.0 e 8.1, e nada para 7.3 ou anteriores. A KingHost não informou se corrige builds antigos. Se o seu site ainda roda 5.6 ou 7.x, planeje a migração para um ramo suportado: veja fim do suporte do PHP.
A KingHost já corrigiu o PHP2Shell?
Não está confirmado. O aviso de 21 de outubro de 2026 fala só da desativação do session.upload_progress, uma medida temporária, e seguia com status Monitoring em 22 de outubro, sem atualização. Pergunte ao suporte qual build exato o seu site usa.
O artigo da KingHost lista só versões até o PHP 7.3. Ainda dá para usar o 8.x?
O artigo de ajuda sobre a troca de versão cita 5.6 a 7.3, mas pode estar desatualizado. O que vale é a lista que aparece no seletor da Configuração PHP no seu painel. Se nenhum ramo suportado (8.2 a 8.5) aparecer, fale com o suporte.
Verifique se o seu PHP é afetado pelo PHP2Shell
Informe a versão que o seu site mostra. Comparamos com a primeira versão corrigida do mesmo ramo e dizemos o que fazer em seguida.
Verificador PHP2Shell →Fontes
Os fatos centrais desta página (versões corrigidas, detalhes dos CVEs, pacotes das distribuições e alertas de órgãos oficiais) vêm de fontes oficiais. Pesquisas, notícias e posts da comunidade estão identificados como tal.
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- RCE via OOM corruptionOficial The PHP Group
- RCE via stale global stateOficial The PHP Group
- Site Health screenOficial WordPress.org
- Segurança PHP - Desativação do recurso session.upload_progress devido a publicação de CVEsFornecedor KingHost
- Como verificar a versão de PHP do meu siteFornecedor KingHost
- Como alterar a versão do PHP de meu siteFornecedor KingHost
- KingHost StatusFornecedor KingHost