O WordPress funciona sobre o PHP, e a versão do PHP determina se o site ainda recebe correções de segurança. Em outubro de 2026 foram descobertas no PHP duas vulnerabilidades críticas que só podiam ser corrigidas atualizando o PHP. Atualizar o WordPress não resolvia. Neste guia vai ver como verificar a versão do PHP em poucos minutos, que versão é segura e como fazer a atualização sem que o site deixe de funcionar.
PHP2Shell: porque é que a versão do PHP importa agora
A 21 de outubro de 2026, o PHP publicou correções para duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619), conhecidas como PHP2Shell. Ambas têm uma gravidade de 9,2/10 (CVSS 4.0). No pior cenário, um atacante pode executar os seus próprios comandos no servidor sem iniciar sessão. Em instalações Apache com mod_php, o ataque pode começar antes mesmo de qualquer código do WordPress ser executado.
As vulnerabilidades afetam todas as versões de cada ramo do PHP anteriores à respetiva versão corrigida: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O PHP 8.1 e as versões anteriores já não recebem atualizações do projeto PHP. A 23 de outubro, o PHP anunciou ainda uma terceira vulnerabilidade (CVE-2026-115560), cuja exploração exige uma combinação rara de configurações e código da aplicação. Será corrigida na próxima versão regular.
Segundo o Centro Nacional de Cibersegurança da Finlândia (NCSC-FI), a 21 de outubro não havia informação de exploração ativa das vulnerabilidades, mas já existia código de exemplo funcional, pelo que a situação pode mudar depressa.
O PHP recebe correções de segurança várias vezes por ano, mas apenas nos ramos suportados. Cada ramo é corrigido durante cerca de quatro anos, e as falhas encontradas depois ficam por corrigir. Por isso, convém verificar a versão do PHP com regularidade e não só quando uma vulnerabilidade aparece nas notícias.
Como verificar a versão do PHP
No painel de administração do WordPress
- Inicie sessão no WordPress como administrador.
- No menu à esquerda, escolha Ferramentas → Diagnóstico do site (no WordPress em inglês: Tools → Site Health).
- Abra o separador Informações (Info) e, nele, a secção Servidor (Server).
- Na linha Versão do PHP aparece o número exato da versão, por exemplo 8.3.36.
Veja o número completo. O ramo (8.3) indica se a versão ainda é suportada e o último número (36) se a correção mais recente está instalada. Se a versão estiver desatualizada, o WordPress também mostra no Painel o aviso É necessário actualizar o PHP. Mas não fique à espera do aviso: verifique o número por si.
No painel de controlo do alojamento
Na maioria dos alojamentos web, pode ver e alterar a versão do PHP no painel de controlo. No cPanel, a opção chama-se normalmente MultiPHP Manager ou Select PHP Version; no Plesk, encontra-se nas definições de PHP de cada domínio. Se não a encontrar, pergunte ao seu fornecedor que versão do PHP o seu site usa e se a correção de outubro de 2026 está instalada.
No servidor (para administradores)
Num servidor próprio, o comando php -v mostra a versão do PHP da linha de comandos. O site pode não usar o mesmo PHP, porque o servidor web pode usar outra versão através do PHP-FPM ou do módulo do Apache. A informação mais fiável está no ecrã Diagnóstico do site do WordPress.
As distribuições Linux, como Debian, Ubuntu e Red Hat, costumam incluir as correções nos seus próprios pacotes sem mudar o número da versão. Por isso, o número pode parecer antigo mesmo com a correção instalada. Nesse caso, veja no registo de alterações do pacote se os identificadores CVE são mencionados.
Que versão do PHP é segura?
Uma versão segura cumpre duas condições: o ramo ainda recebe correções de segurança e o servidor tem a versão corrigida mais recente desse ramo. Em outubro de 2026, a situação é esta:
| Ramo do PHP | Fim do suporte de segurança | PHP2Shell corrigido na versão |
|---|---|---|
| 8.5 | 31/12/2029 | 8.5.12 |
| 8.4 | 31/12/2028 | 8.4.27 |
| 8.3 | 31/12/2027 | 8.3.36 |
| 8.2 | 31/12/2026 | 8.2.35 |
| 8.1 e anteriores | terminado (8.1: 31/12/2025, 7.4: 28/11/2022) | sem versão oficial |
O WordPress recomenda o PHP 8.3 ou superior. Ainda funciona com o PHP 7.4, mas o wordpress.org avisa que uma versão desatualizada pode expor o site a problemas de segurança. O suporte do PHP 8.2 termina no final de 2026, por isso, se o seu site o usa, planeie já a passagem para 8.3 ou 8.4.
Para as versões 7.4, 8.0 e 8.1, a equipa de segurança do PHP publicou a correção do PHP2Shell apenas como código-fonte, para quem compila o PHP por conta própria. Algumas distribuições Linux e fornecedores de alojamento preparam os seus próprios pacotes corrigidos para versões antigas. Ainda assim, a solução definitiva é passar para uma versão suportada.
Como atualizar o PHP
No alojamento web
No alojamento web, as correções dentro do mesmo ramo (por exemplo, 8.3.35 → 8.3.36) são normalmente instaladas pelo fornecedor. A mudança de ramo (por exemplo, 8.1 → 8.3) é, na maioria dos casos, feita por si no painel de controlo. Faça-o assim:
- Faça uma cópia de segurança dos ficheiros e da base de dados. Muitos alojamentos permitem fazê-la no painel de controlo.
- Atualize o WordPress, os temas e os plugins. Um plugin ou tema desatualizado é uma causa comum de o site deixar de funcionar numa atualização do PHP.
- Teste primeiro numa cópia, se o alojamento tiver um ambiente de testes (staging).
- Mude a versão do PHP no painel de controlo.
- Reveja o site: página inicial, formulários, finalização de compra da loja online e painel de administração. Confirme no ecrã Diagnóstico do site que a nova versão está em uso.
Se algo deixar de funcionar, volte temporariamente à versão anterior, corrija ou substitua o plugin problemático e tente de novo. Não fique na versão antiga.
Num servidor próprio
- Instale os pacotes PHP atualizados da sua distribuição (por exemplo,
apt upgradeoudnf upgrade) ou compile a versão corrigida. - Reinicie o PHP-FPM, o Apache e os outros processos que executam PHP, como as tarefas em segundo plano. Só então a correção entra em vigor.
- Se o site corre num contentor, crie uma nova imagem com o PHP corrigido e ponha-a em produção.
- Por fim, verifique a versão no ecrã Diagnóstico do site.
Se não puder atualizar já
Segundo o PHP, a única correção completa é a atualização. Se esta demorar, o administrador do servidor pode reduzir o risco com as definições recomendadas nos avisos do PHP. No alojamento web, quem decide as definições é normalmente o fornecedor.
session.upload_progress.enabled=0bloqueia os métodos de ataque confirmados para as vulnerabilidades CVE-2026-109619 e CVE-2026-115560. Segundo o PHP, convém manter esta definição desativada mesmo depois da atualização, se a funcionalidade não for necessária.- No PHP 8.5,
fatal_error_backtraces=0elimina outro método de ataque confirmado.
Nenhuma das definições protege contra a vulnerabilidade CVE-2026-109618. As definições podem dar-lhe tempo, mas não substituem a atualização.
Perguntas frequentes
O WordPress atualiza o PHP automaticamente?
Não. O WordPress atualiza-se a si próprio, mas o PHP é software do servidor, atualizado pelo fornecedor de alojamento ou pelo administrador do servidor. Por isso, atualizar o WordPress não corrige as vulnerabilidades PHP2Shell.
Que versão do PHP devo escolher para o WordPress?
O WordPress recomenda o PHP 8.3 ou superior. Em outubro de 2026, boas escolhas são o 8.3 e o 8.4, desde que a correção mais recente esteja instalada e os plugins suportem a versão.
Atualizar o PHP pode estragar o site?
Uma versão corrigida do mesmo ramo, como 8.3.35 → 8.3.36, raramente estraga alguma coisa. Mudar de ramo pode fazer com que um plugin ou tema antigo deixe de funcionar, por isso faça uma cópia de segurança e teste primeiro.
O PHP 7.4 ainda é seguro?
Não. O seu suporte de segurança terminou a 28 de novembro de 2022. O WordPress ainda funciona com o 7.4, mas o wordpress.org avisa que uma versão desatualizada pode expor o site a problemas de segurança.
Como sei se o meu alojamento já instalou a correção do PHP2Shell?
Veja o número completo da versão do PHP no ecrã Diagnóstico do site e compare-o com a tabela acima. Se o número for inferior, pergunte ao fornecedor se a correção está incluída no pacote dele.
Se, depois de atualizar o PHP, um plugin deixar de funcionar, ou se precisar de alguém para manter o seu site, contacte-nos. Ajudamos a atualizar aplicações WordPress e PHP.
Fontes
- Centro Nacional de Cibersegurança da Finlândia (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (em finlandês)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (em inglês)
- PHP: RCE via OOM corruption, CVE-2026-109618 (em inglês)
- PHP: RCE via stale global state, CVE-2026-109619 (em inglês)
- PHP: versões suportadas (em inglês)
- WordPress: requisitos (em inglês)
