Falha crítica no PHP: o que os líderes da empresa precisam perguntar sobre os próprios sites
Time Lumis
PublicadoResposta direta. Em 21 de outubro de 2026, o projeto PHP corrigiu duas falhas graves que permitem a um invasor assumir o controle do servidor de um site sem precisar de senha. O PHP está por trás de cerca de 69% dos sites cuja linguagem de servidor é conhecida, segundo a W3Techs. A única proteção completa é atualizar. Para quem lidera uma área de negócio, a pergunta é quais canais da empresa rodam em PHP e quem os atualiza. O LumisXP não usa PHP e não é afetado.
Para quem lidera marketing, comunicação, vendas, RH ou produto, a notícia parece assunto de TI. Só que, na nossa experiência com grandes empresas, parte dos canais mais expostos nasce fora de TI: o hotsite de uma campanha antiga, o site de um evento, a página de vagas feita por um fornecedor, o portal de parceiros contratado por uma área. São páginas que recebem dados de clientes e candidatos e carregam a marca, e às vezes ninguém dentro da empresa sabe dizer em que tecnologia rodam nem quem as atualiza.
A tese deste texto: a correção já existe, mas só protege os canais que alguém sabe que existem. Nas grandes empresas, parte deles foi criada pelas áreas de negócio às pressas e nunca entrou no inventário de TI. A pergunta que cabe a cada liderança não exige conhecimento técnico: quais dos nossos canais estão fora do controle de quem cuida da segurança?
O que é a falha PHP2Shell e por que ela é grave?
O PHP é uma linguagem de programação que roda nos servidores e monta as páginas que o visitante vê. As duas falhas corrigidas agora estão no próprio PHP e aparecem na base de vulnerabilidades da Wiz, empresa que participou da descoberta, sob o nome PHP2Shell.
A gravidade vem de dois fatores. Como a falha está no próprio PHP, ela atinge qualquer site que o use, seja qual for a ferramenta usada para criá-lo. E ela permite que alguém de fora assuma o controle do servidor sem login nem senha. Segundo o Centro Canadense de Segurança Cibernética, toda instalação de PHP que atende visitantes na web está em risco.
O projeto PHP publicou as versões corrigidas em 21 de outubro e afirma que atualizar é a única escolha segura. Segundo o Centro Canadense de Segurança Cibernética, as versões 8.1 e anteriores não recebem mais atualizações. Pela distribuição da W3Techs, mais de um terço dos sites em PHP ainda roda as versões 7 ou 5, que não recebem mais correção oficial.
No Brasil, o CTIR Gov, centro de resposta a incidentes do governo federal, recomendou identificar os sistemas que usam PHP e aplicar as atualizações. Quando isso não for possível de imediato, a orientação é restringir temporariamente o acesso às aplicações expostas, ou seja, tirar do ar ou limitar quem consegue acessar os sites afetados. Para a área dona do canal, isso pode significar uma página fora do ar no meio de uma campanha, de um processo seletivo ou de um lançamento.
O LumisXP é afetado?
Não. Nossa plataforma não usa PHP. O LumisXP roda sobre outra tecnologia, o Java, e as falhas desta semana estão no PHP.
Isso não encerra o assunto. Toda tecnologia de servidor recebe correções de segurança de tempos em tempos, e a pergunta que esta falha levanta, sobre quem aplica a atualização e em quanto tempo, se aplica a qualquer fornecedor. Além disso, ter o site principal no LumisXP não garante que todos os canais da empresa estejam nele.
Por que os canais criados pelas áreas de negócio podem ser os mais expostos?
Na nossa experiência, um site institucional ou um portal de clientes costuma ter um responsável em TI e uma rotina de atualização. Os canais criados pelas áreas seguem outra lógica. Pense no roteiro de uma campanha, de um evento ou de um programa de recrutamento: a página precisava estar no ar em duas semanas, o fornecedor resolveu com a ferramenta que conhecia, a hospedagem foi contratada à parte, e a ação acabou, mas a página continuou lá, recebendo cadastros ou esquecida.
Cada decisão fazia sentido na época. O risco surge quando chega um aviso crítico como o desta semana e ninguém sabe dizer quais canais existem e quem responde por cada um, enquanto um site com a marca da empresa pode ficar sob o controle de um invasor.
Quatro perguntas para levar à próxima reunião com TI e fornecedores
Quais canais da nossa área temos no ar hoje?
Liste tudo o que tem o nome da empresa e está publicado: sites de produto, hotsites de campanhas antigas, landing pages, blogs, páginas de evento e de vagas, portais de parceiros. Identificar onde o PHP está em uso é a primeira recomendação do CTIR Gov, e cada liderança é quem melhor conhece os canais que a própria área criou.
Quem cuida da atualização de cada um, e isso está no contrato?
Para cada canal, a resposta precisa ter nome: o time de TI, a agência, a hospedagem ou o fornecedor da plataforma. Se a atualização de segurança não está prevista no contrato com o fornecedor, não há garantia de que esteja sendo feita. Inclua essa cláusula nos próximos contratos.
Algum desses canais roda em versão antiga?
Peça à TI ou ao fornecedor a versão do PHP de cada canal. Se a resposta for 8.1 ou anterior, o que inclui as versões 7 e 5, não há correção oficial e o canal precisa de um plano. Se a resposta for "não sei", trate o canal como exposto até ter a resposta. A versão 8.2, que recebeu a correção agora, também deixa de receber atualizações em 31 de dezembro de 2026.
Se precisarmos tirar um canal do ar, o que para junto?
Antes de desligar uma página, é preciso saber o que depende dela, como o formulário ligado ao CRM ou ao sistema de recrutamento e a mídia paga que aponta para aquele endereço. Ter esse mapa evita que uma medida de segurança vire uma campanha, um processo seletivo ou um atendimento parado sem aviso.
Centralizar os canais reduz esse risco?
Nossa leitura, em 25 anos operando canais digitais de grandes empresas: quando um canal fica fora do mapa, quase sempre houve uma área com prazo curto e uma estrutura central que não conseguia publicar a tempo. Por isso, no longo prazo, faz mais diferença dar velocidade à estrutura central do que proibir canais paralelos.
É essa a lógica do LumisXP: uma única infraestrutura para todos os sites e portais da empresa. Em nossa plataforma, o lançamento de um novo portal pode levar 4 horas, e no BMG um canal com mais de 100 milhões de pageviews por mês fica sob controle do time de marketing, sem depender de TI para cada publicação.
Para quem quer entender como distribuir responsabilidade entre áreas sem perder controle, detalhamos o tema em Plataformas CMS e DXP com governança para grandes empresas.
Limitações: quando trocar de plataforma não é a resposta
Uma troca de plataforma não acontece na mesma semana de um alerta crítico, e esta falha pede atualização agora. Se os seus sites em PHP já receberam a correção e têm um responsável definido, a exposição a esta falha está tratada. Uma migração decidida às pressas cria novos pontos de falha.
Centralizar também tem um custo. Com todos os canais numa mesma infraestrutura, a qualidade do processo de atualização do fornecedor passa a afetar todos eles ao mesmo tempo. Antes de centralizar, pergunte a qualquer fornecedor, inclusive a nós, como ele trata uma falha crítica e em quanto tempo.
Este texto não é um guia técnico de correção. Para o procedimento de atualização, as referências são o aviso de segurança do projeto PHP e a recomendação do CTIR Gov. Se a troca de plataforma já entrou na pauta da empresa, os critérios que usamos estão em Melhores DXPs para substituir CMS legado no Brasil.
Próximo passo
Se esta semana mostrou que a sua empresa não sabe ao certo quantos canais digitais tem no ar, nem quem responde por cada um, podemos mostrar como o LumisXP reúne todos os sites e portais da empresa em uma única infraestrutura.
Converse com um especialista Lumis sobre os canais digitais da sua empresa.
Perguntas frequentes
O que é o PHP2Shell?
É o nome de duas falhas graves no PHP, linguagem usada por cerca de 69% dos sites cuja linguagem de servidor é conhecida, corrigidas em 21 de outubro de 2026. Elas permitem que um invasor assuma o controle do servidor de um site sem precisar de senha.
O LumisXP é afetado pelo PHP2Shell?
Não. O LumisXP não usa PHP. A plataforma roda sobre Java, e as falhas estão no PHP.
O site da minha área é mantido por um fornecedor. Preciso me preocupar?
Se o site usa PHP, sim. Pergunte ao fornecedor se o PHP do site já foi atualizado e em qual versão ele está.
Existe alguma proteção além de atualizar?
Não completa. O projeto PHP afirma que não há mitigação completa e que atualizar é a única escolha segura. Quando a atualização não for possível de imediato, o CTIR Gov recomenda restringir temporariamente o acesso às aplicações expostas.
O que muda em 31 de dezembro de 2026?
A versão 8.2 do PHP deixa de receber correções de segurança. Pergunte à TI ou ao fornecedor se algum site da empresa usa essa versão.
Autor: G. Silva, estrategista de conteúdo e IA, responsável pelo conteúdo editorial da Lumis, e autor do método de produção de conteúdo. Concluiu os cursos Introduction to agent skills e Building with the Claude API, da Anthropic, é certificado pela Semrush Academy (GA4 para SEO) e possui certificação em ferramentas Google.
Revisão técnica: Arquiteto ou responsável por infraestrutura da Lumis.
Fontes Projeto PHP. Notas da release PHP 8.2.35 (21/10/2026). https://github.com/php/php-src/releases/tag/php-8.2.35 Projeto PHP. Notas da release PHP 8.5.12 (21/10/2026). https://github.com/php/php-src/releases/tag/php-8.5.12 Projeto PHP. Aviso de segurança "Critical remote code execution vulnerabilities, update now" (21/10/2026). https://www.php.net/archive/2026.php#2026-10-21-5 Centro Canadense de Segurança Cibernética. Alerta AL26-026, vulnerabilidades críticas no PHP (21/10/2026). https://cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619 CTIR Gov, Gabinete de Segurança Institucional. Recomendação sobre as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 (21/10/2026). [CONFIRMAR URL OFICIAL em gov.br/ctir] Wiz. Vulnerability Database, CVE-2026-109619, nome PHP2Shell (consulta em 23/10/2026). https://www.wiz.io/vulnerability-database/cve/cve-2026-109619 W3Techs. Usage statistics of PHP for websites (consulta em 23/10/2026). https://w3techs.com/technologies/details/pl-php Lumis. Documentação LumisXP 17.0.1, requisitos de sistema. https://lumis.com.br/doc/lumisportal/17.0.1/en-US/lumis.installation_and_configuration.system_requirements.html Lumis. Confirmação da equipe Lumis de que o LumisXP não usa PHP (23/10/2026). Lumis. LumisXP para marketing. https://www.lumis.com.br/lumis-xp-para-marketing.htm Lumis. LumisXP para tecnologia. https://www.lumis.com.br/lumis-xp-para-tecnologia.htm Lumis. Finanças e Seguros (case BMG). https://www.lumis.com.br/solucoes/por-segmento/financas-seguros.htm
