Atualização de segurança do PHP (CVE-2026-109618 e CVE-2026-109619)

Atualização – 23/10/2026

Concluímos a atualização do PHP nos servidores da HostGator. Com isso, eles estão protegidos contra as duas vulnerabilidades divulgadas pela equipe do PHP no dia 21/10 (CVE-2026-109618 e CVE-2026-109619, conhecidas como PHP2Shell).

As medidas de proteção que aplicamos logo após a divulgação continuam ativas como uma camada extra de segurança.

PRECISO FAZER ALGUMA COISA?

Hospedagem compartilhada, Revenda e WordPress: não, nenhuma ação é necessária. Nossa equipe já aplicou as correções no seu servidor.

VPS e Servidor Dedicado: nossa equipe também aplicou a atualização automaticamente em todos os servidores com PHP instalado. Se você alterou o acesso ao servidor, bloqueou portas padrão ou fez alguma configuração que impeça o nosso acesso, a atualização pode não ter sido aplicada. Nesses casos, verifique a versão do PHP manualmente e, se necessário, faça a atualização.

COMO SABER SE O MEU SITE ESTÁ PROTEGIDO

Crie um arquivo info.php para ver a versão do PHP do seu site. O número completo aparece logo no topo da página, em "PHP Version". Se a versão for igual ou mais nova que as listadas abaixo, seu site está protegido. Ao terminar, apague o arquivo info.php, porque ele mostra detalhes do seu servidor.

👉 Como criar o arquivo info.php

VERSÕES DO PHP COM A CORREÇÃO

cPanel (EasyApache 4): hospedagem compartilhada, Revenda, VPS e Dedicado com cPanel

• PHP 8.5: 8.5.12
• PHP 8.4: 8.4.27
• PHP 8.3: 8.3.36
• PHP 8.2: 8.2.35
• PHP 8.1: 8.1.34-5

Servidores com CentOS 6 e CentOS 7 Também aplicamos a correção nesses servidores. No CentOS 7, as versões corrigidas são:

• PHP 8.4: ea-php84 8.4.26-2
• PHP 8.3: ea-php83 8.3.35-2.el7.cloudlinux.2
• PHP 8.2: ea-php82 8.2.34-2.el7.cloudlinux.1
• PHP 8.1: ea-php81 8.1.34-4.el7.cloudlinux.1

Plesk: Dedicado Windows e VPS com Plesk

• PHP 8.5: 8.5.12
• PHP 8.4: 8.4.27
• PHP 8.3: 8.3.36
• PHP 8.2: 8.2.35
• Painel Plesk: Plesk Obsidian 18.0.81 Update 4 / 18.0.80 Update 11

AlmaLinux 9

• PHP 8.3: php-8.3.33-1.module_el9.8.0+328+1fdeb728.alma.1
• PHP 8.2: php-8.2.33-1.module_el9.8.0+327+37dfd4b4.alma.1
• PHP 8.1: php-8.1.32-1.module_el9.8.0+326+528679fc.alma.1
• PHP 8.0: php-8.0.30-8.el9_8.alma.1

Rocky Linux 9

• PHP 8.3: php-8.3.36-1.module+el9.8.0+40396+4e680bb7
• PHP 8.2: php-8.2.35-1.module+el9.8.0+40395+2f706e64
• PHP 8.0: php-8.0.30-8.el9_8.1

Ubuntu 22.04 LTS

• PHP 8.1: php8.1 8.1.2-1ubuntu2.28

Debian

• PHP 8.4: php8.4 8.4.27-1-deb13u1 (Debian 13)
• PHP 8.2: php8.2 8.2.35-1-deb12u1 (Debian 12)

COMO ATUALIZAR O PHP NA SUA VPS OU SERVIDOR DEDICADO

Se a versão do PHP do seu servidor for anterior às listadas acima, atualize os pacotes pelo seu painel de controle. Antes de qualquer atualização, recomendamos fazer um backup completo.

👉 Como instalar diferentes versões de PHP nos Servidores VPS e Dedicado Linux 👉 Como alterar a versão do PHP em servidores VPS e Dedicado

ENCONTROU ARQUIVOS COM FINAL ".BAK.20OCT2026-CVE" NA SUA CONTA?

Os arquivos php.ini.bak.20Oct2026-CVE e .user.ini.bak.20Oct2026-CVE são cópias de segurança que nossa equipe gerou ao aplicar as medidas de proteção. Eles não são maliciosos.

DICAS PARA MANTER SEU SITE SEGURO

Manter o site atualizado é uma das melhores formas de protegê-lo. Use uma versão de PHP com suporte, recomendamos a 8.2 ou mais nova, sempre no pacote corrigido. Mantenha também WordPress, temas e plugins em dia.

👉 Como proteger e aumentar a segurança do WordPress 👉 Como proteger o servidor

Se precisar de ajuda, nosso time de suporte está à disposição pelo chat ou por chamado.

HISTÓRICO

• 22/10/2026: a maior parte dos servidores já estava com as versões corrigidas do PHP, e seguimos com a atualização dos demais.
• 21/10/2026: a equipe do PHP lançou as versões corrigidas e começamos a aplicá-las nos nossos servidores.
• 20/10/2026: logo após a divulgação, aplicamos medidas de proteção em todos os servidores. Seu site e seus e-mails continuaram funcionando normalmente.