Falha crítica no PHP: todos os nossos clientes já estão protegidos

Foram divulgadas hoje duas vulnerabilidades críticas no PHP, CVE-2026-109618 e CVE-2026-109619 (apelidadas de PHP2Shell), com gravidade 9,2 em 10. Elas permitem que um atacante execute comandos no servidor sem precisar de senha, apenas enviando requisições ao site. Afetam qualquer instalação de PHP que atenda requisições web, inclusive WordPress, lojas virtuais e sistemas sob medida.

Gravidade: um site vulnerável pode ser invadido, usado para disparar spam, hospedar malware ou vazar dados de clientes. A CISA, agência de segurança cibernética dos Estados Unidos, recomenda correção imediata e que sistemas sem correção disponível sejam tirados do ar.

O que já fizemos, no mesmo dia:

• Migramos todos os clientes para o PHP 8.3, versão corrigida e com suporte ativo, inclusive quem hospeda WordPress conosco.
• Corrigimos a compatibilidade no código dos sites que ainda usavam PHP antigo, do 5.x ao 8.1, para que continuassem funcionando no 8.3. Nossa equipe auditou e ajustou o código de cada um deles.
• Aplicamos as correções do PHP no servidor assim que foram publicadas, e removemos as versões antigas que não recebem mais atualizações.

Tudo isso foi feito sem custo adicional e sem que nenhum cliente precisasse abrir um ticket. Como somos uma softhouse com equipe própria de programadores, a correção de código faz parte do nosso compromisso com a segurança de quem hospeda conosco. Se você notou qualquer comportamento diferente no seu site após a migração, fale com a equipe técnica.