Versão do PHP na Locaweb: como ver, como trocar e o que a Locaweb disse sobre o PHP2Shell

Meu site na Locaweb é afetado pelo PHP2Shell?

Um site na Locaweb é afetado pelo PHP2Shell se roda um build do PHP mais antigo que a versão corrigida do seu ramo. O PHP2Shell são duas falhas críticas no próprio PHP, a CVE-2026-109618 e a CVE-2026-109619, e valem para qualquer site em PHP, inclusive WordPress. Na Hospedagem de Sites, quem instala o PHP é a Locaweb; num servidor que você administra, é você. As versões corrigidas são:

O verificador PHP2Shell explica como ler a versão do seu site.

O que a Locaweb disse sobre o PHP2Shell?

A Locaweb publicou um aviso na sua página de status em 21 de outubro de 2026, às 16h38 (horário de Brasília): Segurança PHP - Desativação do recurso session.upload_progress devido a publicação de CVEs. Segundo o aviso:

• Desde a manhã de 21 de outubro, a Locaweb vinha aplicando atualizações ligadas à CVE-2026-109618 e à CVE-2026-109619.
• O primeiro passo, já realizado, foi desativar o recurso session.upload_progress do PHP.
• A medida vale “até que seja divulgada a correção definitiva”, como redução de risco.
• O upload continua funcionando, mas barras de progresso de upload na tela deixam de funcionar.

Quando verificamos, em 22 de outubro de 2026, o aviso estava com status Monitoring e não tinha atualizações posteriores. Ele não diz quais produtos foram cobertos nem se os builds corrigidos do PHP já foram instalados. O aviso também não traz uma data para a próxima etapa.

Desativar o session.upload_progress é uma medida temporária, não a correção. O PHP diz que ela bloqueia só caminhos confirmados de uma das falhas; veja a página de mitigação do PHP2Shell.

Como vejo a versão do PHP na Locaweb?

Na Hospedagem de Sites, a versão aparece no painel. Segundo o artigo Como alterar a versão do PHP – Hospedagem de Sites:

1. Acesse painelhospedagem.locaweb.com.br com seu usuário e senha.
2. Busque o domínio e clique em Administrar.
3. No lado direito, em Resumo de Uso, veja Versão do PHP.

Outro artigo da Locaweb, Como saber a versão do PHP de sua hospedagem, cita também a aba Informações gerais do painel. Para Revenda, os caminhos são outros:

• Revenda cPanel: cPanel do domínio → Software → Gerenciador de MultiPHP.
• Revenda Plesk: Assinaturas → Websites e domínios → Configurações de hospedagem.

O painel mostra o ramo, não o build exato. Para ver o número completo, confira o que o site informa: no WordPress, em Ferramentas → Saúde do site → Informações → Servidor. O verificador de versão do PHP explica o número.

Como troco para uma versão corrigida do PHP na Locaweb?

Na Hospedagem de Sites você escolhe o ramo, e a Locaweb instala os builds. Para trocar, clique no número da versão em Resumo de Uso → Versão do PHP, escolha a versão e clique em Aplicar versão (ajuda Locaweb). O artigo também mostra a troca manual pelo .htaccess, mas só lista versões antigas (5.4 a 7.3); para o PHP2Shell, use o painel e um ramo suportado (8.2 a 8.5).

Na Revenda cPanel, a troca é feita no Gerenciador de MultiPHP (como alterar a versão do PHP no cPanel). Em VPS ou servidor que você administra, a atualização para uma versão corrigida é sua: instale o build corrigido e reinicie o PHP. Faça backup antes de trocar de ramo.

E os sites WordPress na Locaweb?

No WordPress, a correção do PHP2Shell vem do PHP. Atualizar o WordPress, o tema ou os plugins não corrige a falha. Depois que a Locaweb confirmar a atualização, abra Ferramentas → Saúde do site → Informações → Servidor e compare a versão do PHP com a tabela acima. Se um plugin de upload parou de mostrar a barra de progresso, isso é efeito da medida temporária, não defeito do plugin. Mais em PHP2Shell e WordPress.

O que devo perguntar ao suporte da Locaweb?

Pergunte ao suporte, pela Central do Cliente:

1. Qual build exato do PHP o seu domínio usa.
2. Se esse build já inclui a correção da CVE-2026-109618 e da CVE-2026-109619, ou se só a desativação do session.upload_progress foi aplicada.
3. Se os processos (workers) do PHP foram reiniciados.
4. Quando o seu plano recebe os builds corrigidos, se ainda não recebeu.

Há uma mensagem pronta no guia de correção do PHP2Shell. Acompanhe a página de status da Locaweb e desconfie de e-mails que pedem login por link.

E se o meu site na Locaweb usa PHP antigo?

Os ramos antigos são o caso mais difícil. O PHP não publica novas versões para o 8.1 e anteriores, só patches mínimos de código-fonte para 7.4, 8.0 e 8.1. O artigo de troca de versão da Locaweb diz que é possível escolher versões a partir da 7.0. A Locaweb não informou se corrige builds antigos. Um número como 7.4.33 não prova nada sozinho, então pergunte ao suporte e planeje a migração: veja fim do suporte do PHP.