8 min read
“Nenhum modelo é simplesmente capaz de encontrar ‘todos os bugs’ com comandos simples.” A frase é da Calif, a empresa de segurança que encontrou as duas falhas web que todo mundo passou a semana passada corrigindo, e é um bom lembrete: a IA ajudou a transformar uma descoberta antiga em um ataque funcional, mas a solução ainda depende de pessoas comuns fazendo manutenção comum. Se o site do seu negócio roda em WordPress, nesta semana essa pessoa comum é você.
Aqui está um checklist tranquilo, passo a passo, para quem trabalha sozinho e não é desenvolvedor. Separe uns 30 minutos e use um assistente de IA nas partes que parecem técnicas.
O que é o PHP2Shell, em português claro
PHP é a linguagem de programação sobre a qual o WordPress, e uma parte enorme da web, é construído. Segundo a reportagem do TechCrunch sobre as falhas, cerca de 70% da internet exposta à web depende dele. Em 21 de outubro de 2026, a PHP Foundation divulgou duas falhas críticas, registradas como CVE-2026-109618 e CVE-2026-109619 (um CVE é só um número de identificação público para uma brecha de segurança conhecida), e lançou as correções no mesmo dia (as notas oficiais estão no arquivo de notícias do PHP). A agência de cibersegurança dos Estados Unidos, a CISA, emitiu um alerta junto.
Por que esta importa: as falhas permitem execução remota de código sem senha, ou seja, um desconhecido na internet poderia rodar os próprios comandos no seu servidor sem fazer login e sem você clicar em nada. A Amazon detectou ataques cerca de uma semana antes das correções, então as equipes de defesa foram orientadas a procurar problemas desde 17 de outubro.
A boa notícia é que o WordPress em si não precisa de uma atualização especial de plugin para isso. A correção fica uma camada abaixo, no software PHP que sua hospedagem roda. Seu trabalho é confirmar que essa camada foi atualizada e depois verificar se nada entrou antes.
Passo 1: Descubra quem é responsável pelo seu PHP
Essa única pergunta define quanto do trabalho é seu.
- Hospedagem WordPress gerenciada (aquela em que você nunca vê um servidor, só um painel): a hospedagem atualiza o PHP para você. Seu trabalho é confirmar que ela fez isso.
- Hospedagem compartilhada com painel de controle como o cPanel: normalmente a hospedagem corrige o PHP, mas talvez você escolha a versão em uma tela “Select PHP Version” ou “MultiPHP”.
- Seu próprio servidor ou VPS (um servidor privado virtual que você ou um freelancer configurou): ninguém está corrigindo, a menos que alguém rode as atualizações. Trate como urgente.
Não sabe qual é o seu? Veja a última fatura da hospedagem. Se aparecer “managed WordPress”, você está no primeiro grupo.
Passo 2: Veja sua versão do PHP sem mexer em código
No painel do WordPress, vá em Ferramentas, depois Saúde do site, depois a aba Informação, depois Servidor. Você verá uma linha chamada “Versão do PHP”. Copie esse número. Você não precisa interpretá-lo; vai entregá-lo à hospedagem no próximo passo.
Passo 3: Faça uma pergunta direta à hospedagem (deixe a IA escrever o e-mail)
A maioria das hospedagens publicou um aviso na semana passada, então confira primeiro a página de status ou o blog delas. Se não encontrar uma resposta clara, mande uma mensagem curta ao suporte. Aqui vai um comando para colar no ChatGPT, Claude ou Gemini:
“Escreva um chamado de suporte curto e educado para minha hospedagem. Meu site WordPress é [domínio]. A Saúde do site mostra a versão do PHP [número]. Peça que confirmem por escrito se meu servidor tem as correções da PHP Foundation lançadas em 21 de outubro de 2026 para CVE-2026-109618 e CVE-2026-109619, e se viram algum sinal de exploração na minha conta desde 17 de outubro.”
Peça um sim ou não por escrito. “Levamos a segurança a sério” não é resposta. Guarde a resposta junto com os registros do seu negócio.
Se você administra seu próprio servidor, o comando muda: peça à IA para explicar, para sua configuração exata (por exemplo Ubuntu com uma versão específica do PHP), como instalar as últimas atualizações de segurança do PHP e reiniciar o servidor web. Depois confira as instruções na documentação do seu provedor antes de rodar qualquer coisa. Assistentes de IA podem inventar comandos, e inventam, e é por isso que nosso guia para iniciantes sobre alucinações de IA recomenda verificar tudo o que você vai aplicar.
Passo 4: Procure qualquer coisa que tenha entrado desde 17 de outubro
A correção fecha a porta. Ela não diz se alguém entrou antes. Reserve dez minutos para estas verificações:
- Usuários: abra Usuários, depois Todos os usuários, e ordene por função. Qualquer administrador que você não reconheça é um sinal de alerta.
- Plugins: procure plugins que você nunca instalou, principalmente com nomes vagos ou sem descrição.
- Mudanças recentes: se a hospedagem oferece um gerenciador de arquivos, procure arquivos alterados na pasta principal a partir de 17 de outubro que você não mudou.
- Uma varredura gratuita: um plugin de segurança como o Wordfence ou o scanner gratuito da Sucuri compara seus arquivos principais com cópias limpas e aponta diferenças.
- Seu site em uma janela anônima: visite a página inicial e a de contato sem estar logado. Redirecionamentos inesperados ou pop-ups estranhos são um sinal clássico de adulteração.
Se algo parecer errado, pare e fale com a hospedagem antes de apagar qualquer coisa. Muitas hospedagens restauram de graça um backup limpo de antes de 17 de outubro em eventos assim.
Passo 5: Use a IA para ler as partes assustadoras, com cuidado
Resultados de varreduras de segurança e registros do servidor são escritos para engenheiros. É aqui que um assistente ajuda de verdade. Cole o resumo de uma varredura no seu chatbot e pergunte: “Explique cada alerta em linguagem simples, ordene por urgência e diga quais devo levar à minha hospedagem.”
Duas regras mantêm isso seguro:
- Remova segredos antes de colar. Apague senhas, nomes de banco de dados, chaves de API e e-mails de clientes de tudo o que compartilhar.
- Trate a resposta como uma tradução, não como um veredito. A IA pode dizer o que um alerta significa. Só a hospedagem ou um profissional de segurança pode confirmar se o site foi mesmo comprometido.
Passo 6: Troque as chaves, mesmo que tudo pareça limpo
Como os ataques começaram antes de alguém saber das falhas, vale trocar suas credenciais por precaução:
- Sua senha de administrador do WordPress, e a de qualquer outra pessoa com conta.
- As senhas de aplicativo (em Usuários, depois Perfil), que ferramentas e automações usam para publicar no seu site. Revogue as que não usa mais.
- A senha da conta de hospedagem e, se tiver, sua senha de FTP ou SFTP.
- Qualquer chave de API guardada em plugins, como pagamentos, e-mail marketing ou plugins de escrita com IA.
Aproveite e ative o login em duas etapas na conta de hospedagem. Leva cinco minutos e bloqueia o ataque seguinte mais comum.
Passo 7: Faça a próxima ser entediante
O PHP2Shell não será a última grande falha da web, e a IA está acelerando a transformação de falhas conhecidas em ataques funcionais. Alguns hábitos transformam a próxima emergência em um não evento:
- Backups diários automáticos guardados fora do seu servidor, com pelo menos duas semanas de histórico.
- Atualizações menores automáticas para o núcleo do WordPress e plugins de confiança.
- Uma seção de segurança de uma linha na sua política de IA, dizendo o que pode e o que não pode ser colado em chatbots. Nossas dicas rápidas para uma política de IA de uma página mostram como escrevê-la em uma tarde.
- Um comando salvo que transforme qualquer manchete de segurança em “o que isso significa para meu site e o que pergunto à hospedagem?”.
Seu site é sua vitrine, e cada vez mais é também o que os assistentes de IA leem quando clientes pedem uma recomendação. Um site invadido pode sumir dessas respostas sem alarde. Mais um motivo para mantê-lo saudável, como mostramos em como um negócio de uma pessoa só é recomendado pela IA.
Seu resumo de 30 minutos
Confira a versão do PHP em Saúde do site. Consiga um sim por escrito da hospedagem sobre as correções de 21 de outubro. Procure novos administradores, plugins desconhecidos e redirecionamentos estranhos desde 17 de outubro. Troque senhas e senhas de aplicativo. Ative backups e login em duas etapas. Pronto.
Sua hospedagem já respondeu? Conte nos comentários quanto tempo levou e o que disseram. Isso ajuda outros empreendedores solo a saber como é uma boa resposta.
