PHP2Shell e WordPress: o seu site WordPress é afetado?

O meu site WordPress é afetado pelo PHP2Shell?

O seu site WordPress é afetado se a versão do PHP sobre a qual ele roda for anterior à versão corrigida do seu ramo, ou se for PHP 8.1 ou anterior sem patch do fornecedor. O PHP2Shell é um par de falhas no próprio PHP (CVE-2026-109618 e CVE-2026-109619), então todo site WordPress em um PHP sem correção está no alcance, sejam quais forem o tema, os plugins ou a versão do WordPress.

Como verifico o PHP2Shell no meu site WordPress em dois minutos?

Você precisa de uma conta de administrador. Não precisa de acesso ao servidor.

1. No painel do WordPress, abra Ferramentas → Saúde do site.
2. Vá para a aba Informações e expanda Servidor.
3. Anote a Versão do PHP e a SAPI do PHP (como o PHP roda, por exemplo FPM ou Apache).
4. Informe as duas no verificador PHP2Shell. Ele compara com as versões corrigidas e diz o que fazer em seguida.

A Saúde do site mostra o PHP que realmente atende o seu site, que é a versão que importa. Um php -v no servidor pode mostrar outro PHP, o de linha de comando. Outras formas de conferir: verificar a versão do PHP.

Atualizar o WordPress, o tema ou os plugins corrige o PHP2Shell?

Não. O PHP2Shell está no runtime do PHP, por baixo do WordPress. As atualizações do núcleo do WordPress, dos temas e dos plugins não mudam a versão do PHP que o seu servidor roda. Continue atualizando tudo, mas a correção do PHP2Shell só vem com a atualização do PHP para uma versão corrigida ou para o pacote corrigido do seu fornecedor.

O PHP2Shell é a mesma coisa que o wp2shell?

Não. O wp2shell é uma vulnerabilidade diferente, no núcleo do WordPress, corrigida atualizando o WordPress. O PHP2Shell está no PHP e é corrigido atualizando o PHP. Os buscadores às vezes mostram resultados sobre o wp2shell quando você pesquisa “php2shell wordpress”, então confira os dois:

• wp2shell: o núcleo do WordPress está atualizado (Painel → Atualizações).
• PHP2Shell: a versão do PHP na Saúde do site é igual ou superior à versão corrigida do seu ramo.

Quem atualiza o PHP do meu site WordPress?

Depende de como o seu site está hospedado.

Se você só tem acesso ao painel do WordPress, envie à hospedagem o pedido pronto que está no guia do patch do PHP2Shell.

Atualizar o PHP pode quebrar o meu site WordPress?

Migrar para uma versão mais nova do mesmo ramo, como de 8.3.30 para 8.3.36, traz correções e raramente quebra o WordPress. Trocar de ramo, como do 7.4 para o 8.3, pode quebrar temas e plugins mais antigos. Antes de trocar de ramo, faça backup do site e teste em uma cópia de homologação (staging), se a hospedagem oferecer. Veja versão do PHP no WordPress para trocar com segurança.

Um plugin de segurança ou a Cloudflare protegem o WordPress do PHP2Shell?

Eles podem reduzir a exposição, mas não são uma correção. A Cloudflare informa que o WAF dela bloqueia padrões de ataque conhecidos e que observou tentativas de ataque antes do patch. Um plugin de segurança do WordPress roda em cima do PHP, então não tem como corrigir o runtime do PHP, e o PHP confirmou pelo menos um caminho de ataque que roda antes de qualquer código da aplicação. Até atualizar, veja as medidas temporárias para o CVE-2026-109618, com as medidas oficiais e os limites de cada uma.

Como verifico se o meu site WordPress já foi invadido?

Atualizar o PHP impede novos ataques, mas não diz nada sobre o passado. No WordPress, procure:

• Usuários: contas de administrador que você não reconhece (Usuários → filtrar por Administrador).
• Uploads: arquivos .php dentro de wp-content/uploads, pasta que deveria ter só mídia.
• Plugins obrigatórios (must-use): arquivos desconhecidos em wp-content/mu-plugins, que não aparecem na lista normal de plugins.
• Plugins e temas: qualquer coisa que você não instalou e arquivos alterados recentemente em que você não mexeu.

Se encontrar algo, siga o checklist completo de invasão antes de mudar qualquer coisa e, depois da limpeza, troque todas as senhas e as chaves do wp-config.php.

O que as agências devem dizer aos clientes de WordPress?

Diga o que você fez, não só qual é o risco: qual versão do PHP cada site roda agora, que ela é igual ou superior à versão corrigida e que você procurou sinais de invasão. O guia do patch do PHP2Shell tem um comunicado que você pode adaptar para clientes, e o verificador PHP2Shell dá um resultado rápido por site.