Duas falhas críticas no PHP, a linguagem por trás de boa parte dos sites e lojas virtuais do mundo, fizeram governos e empresas tirarem sistemas do ar nesta semana. As brechas foram divulgadas na quarta-feira (21) pela própria equipe do PHP, junto com as correções, e receberam os códigos CVE-2026-109618 e CVE-2026-109619, com nota de gravidade 9,2 numa escala até 10. Elas ganharam o apelido de PHP2Shell porque, segundo o alerta do Centro Integrado de Segurança Cibernética do Governo Digital, podem permitir que um invasor execute comandos no servidor sem precisar de login.
No Brasil, o efeito mais visível foi no SEI, o sistema de processos eletrônicos usado por órgãos públicos. Como relatou o g1, a Anatel e os tribunais regionais federais da 1ª, 4ª e 6ª regiões suspenderam o sistema por precaução. Lá fora, a Agência de Segurança Nacional dos Estados Unidos também emitiu alerta, e houve sites públicos fora do ar em outros países. As falhas foram reportadas em agosto pela empresa de segurança Calif e pela OpenAI, e a Wiz disse ter usado modelos de inteligência artificial para encontrar novas formas de explorá-las. A Anac informou na sexta (23) que seu SEI voltou a funcionar normalmente.
O problema está no próprio PHP, e não em plataformas como WordPress, WooCommerce ou nos temas e plugins. Por isso, atualizar a loja não resolve: quem precisa agir é quem administra o servidor. As versões corrigidas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12 ou posteriores. Versões 8.1 e anteriores não recebem mais atualizações regulares do projeto e, segundo o governo, devem ser migradas ou corrigidas pelo fornecedor da hospedagem.
Para o lojista da Santa Ifigênia que vende pela internet com site próprio, o caminho é simples. Quem usa hospedagem compartilhada deve confirmar com a empresa se o servidor já recebeu a correção. A HostGator, por exemplo, informou na sexta (23) que atualizou todos os servidores e que clientes de hospedagem compartilhada não precisam fazer nada, mas pediu que donos de VPS e servidores dedicados com acesso alterado conferissem a versão por conta própria. Lojas em marketplaces ou em plataformas fechadas dependem apenas do fornecedor.
Enquanto a atualização não sai, o alerta federal cita como medida temporária desativar o recurso de progresso de upload de sessões do PHP, mas ressalta que só a nova versão elimina o risco. Especialistas também recomendam que lojas que rodaram em servidor sem correção troquem senhas e chaves de acesso a meios de pagamento e outros serviços depois de atualizar.