Na quarta-feira, 21 de outubro, o projeto PHP lançou correções de emergência para vulnerabilidades críticas. Todos os servidores sob gestão da Linkti foram atualizados 12 horas depois da divulgação do paper que apontava a falha.
Este texto conta o que aconteceu, por que a velocidade importa nesse tipo de falha e o que você deve conferir hoje se tem um site em PHP, o que inclui qualquer site em WordPress.
O que aconteceu
O PHP publicou as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, todas marcadas como versões de segurança, no dia 21 de outubro. Segundo a Cointelegraph, as correções cobrem duas vulnerabilidades críticas e que a Fundação PHP reconheceu ter adiado uma delas, identificada pela primeira vez em 2024, por falta de recursos.
Como o PHP roda em cerca de 69% dos sites cuja linguagem de servidor é conhecida, segundo o W3Techs, o alcance é enorme. O FBI alertou que falhas desse tipo podem permitir a execução remota de código no núcleo do PHP, e o CEO da Cloudflare relatou milhões de tentativas de exploração nas 24 horas seguintes à divulgação, com milhares delas antes mesmo do anúncio.
Um ponto importante: corrigir o PHP não é automático. Cada site e cada servidor precisa aplicar a atualização por conta própria, e é aí que o risco se concentra.
Por que 12 horas importam
Quando uma falha vira pública, a corrida começa dos dois lados. Quem ataca usa ferramentas automáticas que varrem a internet atrás de servidores sem a correção. Cada hora com a versão antiga no ar é uma hora de exposição a tentativas que não dependem de ninguém prestar atenção no seu site.
Foi por isso que atualizamos todos os servidores sob gestão da Linkti 12 horas depois da divulgação do paper, sem esperar a próxima janela de manutenção.
Por que sites menores correm mais risco
O CEO da Immunefi, Mitchell Amador, alertou que sites menores podem levar semanas para adotar a atualização. O motivo é conhecido: sem alguém responsável pela infraestrutura, a atualização do PHP fica esperando uma lembrança, um chamado ou uma quebra.
O resultado é um período em que o site continua vulnerável mesmo com a correção disponível. E, num ataque desse tipo, o dono do site muitas vezes só descobre o problema semanas depois, quando aparece spam no Google, um redirecionamento estranho ou um aviso do navegador.
O que conferir hoje: checklist de 15 minutos
- Descubra a versão do PHP do seu site. No painel de hospedagem, procure por "Versão do PHP" ou "Selecionar versão do PHP". No WordPress, a tela Ferramentas > Saúde do Site > Informações mostra a versão em uso.
- Compare com as versões corrigidas: 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, conforme a linha que você usa. Se a sua versão é mais antiga dentro da mesma linha, atualize.
- Se o seu site roda numa versão fora de suporte, pergunte à hospedagem como migrar. Versões sem suporte não recebem correções de segurança.
- Peça à sua hospedagem a confirmação por escrito de que o servidor foi atualizado e em que data.
- Antes de qualquer mudança de versão, confira se existe um backup recente e testado.
- Atualize o WordPress, o tema e os plugins. Plugins desatualizados continuam sendo a porta de entrada mais comum.
- Revise os usuários administradores do site e troque as senhas de quem não usa autenticação em dois fatores.
- Procure sinais de invasão: arquivos novos ou alterados nas pastas do site, usuários desconhecidos, redirecionamentos e páginas que você não criou.
Quando chamar ajuda
Chame um profissional se o seu site tem loja virtual ou formulário com dados de clientes, se roda em versão antiga do PHP, se a hospedagem não responde sobre a correção ou se você encontrou qualquer sinal de invasão. Nesses casos, esperar custa mais caro do que atualizar.
Perguntas frequentes
Atualizar o PHP pode derrubar o meu site? Atualizações de segurança dentro da mesma linha, como de 8.3.35 para 8.3.36, costumam ser compatíveis. Mesmo assim, faça backup e teste. Mudar de linha, como de 7.4 para 8.3, pede mais cuidado e um teste completo.
Meu site em WordPress corre risco? O WordPress roda em PHP, então depende da versão instalada no servidor. Quem cuida do servidor precisa aplicar a correção.
Como saber se o meu site já foi atacado? Sinais comuns são páginas que você não criou, redirecionamentos, avisos de segurança no navegador e queda de desempenho. Na dúvida, peça uma análise.
Fontes
- Lançamento das versões de segurança do PHP: php.net/releases
- Cobertura da imprensa: Cointelegraph Brasil
Quer ter um time responsável por atualizar o seu servidor no mesmo dia em que uma falha crítica aparece? A Linkti cuida disso na Hospedagem Gerenciada, e o time responde no WhatsApp.
