PHP2Shell patch: versões corrigidas do PHP e como atualizar

Qual versão do PHP já tem o patch do PHP2Shell?

Estas são as primeiras versões corrigidas; qualquer versão mais nova do mesmo ramo também tem o patch. As distribuições Linux fazem backport do patch nos próprios pacotes, muitas vezes mantendo um número de versão que parece antigo. A tabela abaixo também lista imagens, painéis e hospedagens cujo status ainda não verificamos:

O PHP 8.1 e anteriores não recebem versões novas. O PHP publicou patches mínimos de código-fonte para 7.4, 8.0 e 8.1, e algumas distribuições oferecem pacotes corrigidos para esses ramos; veja fim do suporte do PHP.

Qual guia do patch do PHP2Shell serve para o meu ambiente?

Guias de correção do PHP2Shell em português, por ambiente:

• Painéis de controle: cPanel e Plesk
• Hospedagens: HostGator, Locaweb, KingHost, Hostinger
• Servidores e runtimes: Ubuntu e Debian, Docker, PHP 7.4, 8.0, 8.1
• Aplicações: WordPress
• WAF e CDN: Cloudflare, AWS WAF, Fastly, Imperva e outros

Por enquanto, os guias para outros painéis, provedores de hospedagem e aplicações existem apenas na versão em inglês do site.

Como recebo o patch do PHP2Shell na hospedagem compartilhada?

Na hospedagem compartilhada, quem instala o PHP é a hospedagem. Algumas atualizam automaticamente; outras oferecem várias versões do PHP por site, e você só recebe a correção depois de escolher uma versão corrigida.

1. Confira a sua versão. No WordPress: Ferramentas → Saúde do site → Informações → Servidor. Caso contrário, nas configurações de PHP do painel da hospedagem.
2. Compare com as versões corrigidas acima ou use o verificador de versão do PHP.
3. Troque para uma versão corrigida do mesmo ramo, se o painel oferecer.
4. Se não oferecer, fale com a hospedagem usando a mensagem abaixo.
5. Confirme a nova versão quando eles responderem.

Algumas hospedagens suspenderam temporariamente os painéis de controle ou sites de serviço por precaução, por exemplo a XServer e a Lolipop no Japão. Se o seu painel estiver indisponível, confira a página de status ou os comunicados da hospedagem antes de mudar qualquer coisa.

O que devo pedir no chamado para a hospedagem?

Copie o texto abaixo em um chamado de suporte e substitua as partes entre colchetes:

Olá, o meu site [example.com] está hospedado com vocês. O PHP lançou correções de segurança para as vulnerabilidades PHP2Shell (CVE-2026-109618 e CVE-2026-109619).

Vocês poderiam me informar:

1. Qual versão do PHP o meu site usa?
2. Se ela já foi atualizada para uma versão corrigida (8.2.35, 8.3.36, 8.4.27, 8.5.12 ou mais nova) ou para um pacote do fornecedor que inclua a correção?
3. Se todos os workers do PHP foram reiniciados depois disso?
4. Caso ainda não tenha sido feito, quando a atualização será aplicada e se eu preciso fazer alguma coisa?

Obrigado.

Se a hospedagem disser que o site está corrigido, mas o número da versão não mudou, pergunte qual pacote ou aviso de segurança contém a correção; os backports das distribuições podem manter o número antigo.

Atualizar o PHP pode quebrar o meu site?

Migrar para uma versão mais nova do mesmo ramo (por exemplo, de uma versão 8.3 antiga para a 8.3.36) traz correções de bugs e de segurança, não recursos novos, por isso raramente quebra sites. Trocar de ramo, por exemplo do 7.4 para o 8.3, pode quebrar temas, plugins ou códigos mais antigos: faça um backup e teste antes em uma cópia de homologação (staging). Depois de atualizar, teste login, formulários, uploads, pagamentos e tarefas agendadas, não só a página inicial.

Como confirmo que o patch do PHP2Shell funcionou?

• Reinicie todos os processos do PHP. Os pools do PHP-FPM e o Apache continuam rodando o PHP antigo até serem reiniciados.
• Confira o que o site informa, não só a linha de comando: a Saúde do site do WordPress ou o painel de controle. O php -v no servidor mostra o PHP de linha de comando, que pode ser diferente. Informe o resultado no verificador de versão do PHP.
• Repita para cada site, pool de workers e contêiner. Um site corrigido não quer dizer que os outros estejam.
• Se você aplicou o patch tarde, siga o guia como saber se o seu site foi invadido. O patch fecha a brecha, mas não remove um backdoor.

E se eu não conseguir instalar o patch do PHP2Shell hoje?

Use as medidas temporárias oficiais só para ganhar tempo: elas reduzem a exposição a caminhos de ataque específicos, mas não são uma correção e não deixam o site seguro. Veja a página de medidas temporárias do PHP2Shell. Se você não puder aplicar o patch, vários órgãos nacionais recomendaram tirar o site do ar ou isolá-lo até que seja possível.

Como explico o patch para o meu gestor ou para os clientes?

Informe fatos: quais sites rodam qual PHP, o que já foi atualizado, o que ainda está pendente, quem é o responsável e quando será a próxima atualização. Separe “corrigido” de “verificado quanto a invasões”. Exemplo: “Nossos sites rodam PHP. Duas vulnerabilidades críticas do PHP foram corrigidas hoje; atualizamos [N] sites, e [M] estão pendentes com a hospedagem, com previsão para [data].” Voltar ao verificador PHP2Shell.

Quais fontes sustentam esta página?

• The PHP Group: aviso de segurança e versões corrigidas
• Alerta do GitHub GHSA-w8hw-w9fx-j79w
• Alerta do GitHub GHSA-6wmf-4rv5-p3rp
• WordPress.org: atualizar o PHP
• WordPress.org: tela Saúde do site
• Canonical: aviso de segurança do Ubuntu
• Debian: anúncio de segurança
• cPanel: MultiPHP Manager
• Plesk: configurações do PHP
• XServer: suspensão preventiva do painel de controle (X)
• Lolipop: aviso de suspensão preventiva (X)