Versão do PHP no WordPress: confira e atualize por causa do PHP2Shell

Quer saber se o seu site WordPress é afetado pelo PHP2Shell, e não só como trocar o PHP? Comece por PHP2Shell e WordPress.

Como vejo a versão do PHP no WordPress?

Você precisa de uma conta de administrador.

1. No painel do WordPress, abra Ferramentas → Saúde do site.
2. Clique na aba Informações e expanda Servidor.
3. Leia a Versão do PHP e a SAPI do PHP (como o PHP roda, por exemplo FPM/FastCGI ou Apache).

Com o WordPress em inglês, o caminho é Tools → Site Health → Info → Server. Informe os dois dados no verificador de versão do PHP para saber se o PHP2Shell afeta o seu site.

O meu site WordPress é afetado pelo PHP2Shell?

Depende da versão do PHP, não da versão do WordPress. O WordPress roda sobre PHP, e o PHP2Shell é uma falha no próprio PHP. Se a versão do PHP na Saúde do site for anterior à primeira versão corrigida do seu ramo, o site é afetado, a menos que a hospedagem use um pacote de distribuição Linux que contenha a correção por backport.

Atualizar o WordPress e os plugins basta contra o PHP2Shell?

Não. As atualizações do núcleo do WordPress, dos temas e dos plugins não mexem no runtime do PHP que está por baixo, e o PHP2Shell só é corrigido atualizando o próprio PHP. Continue atualizando o WordPress, os temas e os plugins, porque essas atualizações corrigem outros problemas.

Como atualizo a versão do PHP do WordPress?

Depende da sua hospedagem:

• Hospedagem compartilhada ou WordPress gerenciado: a hospedagem atualiza o PHP. Algumas deixam você escolher a versão no painel delas; escolha uma versão corrigida do mesmo ramo. Caso contrário, envie o pedido que está no guia do patch do PHP2Shell.
• cPanel ou Plesk: troque a versão do PHP do domínio e depois confirme na Saúde do site. Veja mudar a versão do PHP no cPanel.
• Servidor próprio: atualize os pacotes do PHP e reinicie o PHP-FPM ou o Apache. Veja atualizar o PHP no Ubuntu.
• Docker: reconstrua com uma imagem do PHP corrigida. Veja imagem Docker do PHP.

Uma versão mais nova do PHP pode quebrar o meu site WordPress?

Migrar dentro do mesmo ramo (por exemplo, para a versão 8.3 mais recente) traz só correções e raramente causa problemas. Pular de ramo, como do 7.4 para o 8.3, pode quebrar plugins e temas antigos. Antes de trocar de ramo, faça um backup completo, use uma cópia de homologação (staging) se a hospedagem oferecer e atualize antes os plugins e os temas. O próprio guia do WordPress recomenda o mesmo.

A Saúde do site ainda mostra a versão antiga do PHP depois da atualização. Por quê?

A Saúde do site informa o PHP que serviu aquela página. Se ela não mudou, o PHP novo não foi aplicado a este domínio, ou os workers do PHP ainda não foram reiniciados. Confira a configuração de PHP do domínio e peça à hospedagem que confirme a reinicialização. Um pacote com backport da hospedagem também pode manter o número antigo; pergunte qual aviso de segurança inclui a correção.

Um plugin de modo de manutenção protege o WordPress do PHP2Shell?

Não. O modo de manutenção é um recurso do WordPress que roda sobre o PHP, e alguns caminhos de ataque acontecem antes de o código do WordPress rodar. Se você ainda não pode atualizar o PHP, peça à hospedagem que bloqueie o tráfego antes que ele chegue ao PHP ou que tire o site do ar temporariamente.

O PHP2Shell é a mesma coisa que o wp2shell?

Não. wp2shell é o nome de uma vulnerabilidade crítica diferente, no núcleo do WordPress, corrigida atualizando o WordPress. O PHP2Shell é corrigido atualizando o PHP. Um site WordPress precisa dos dois atualizados. Mais informações na página inicial do verificador PHP2Shell.

Quais fontes sustentam esta página?

• WordPress.org: tela Saúde do site
• WordPress.org: atualizar o PHP
• The PHP Group: aviso de segurança
• cPanel: MultiPHP Manager
• Plesk: configurações do PHP
• Rapid7: wp2shell, uma vulnerabilidade diferente no núcleo do WordPress