A divulgação de falhas críticas no PHP exigiu uma resposta rápida de quem mantém sites e aplicações em produção. Na WordPane Cloud, aplicamos as correções em todos os servidores de clientes nas nossas soluções desde o primeiro dia de disponibilização. Também tratamos o alerta adicional divulgado em 23 de outubro.
O que aconteceu com o PHP
Em 21 de outubro de 2026, o projeto PHP publicou correções para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. Ambas podem permitir execução remota de código sem autenticação em ambientes afetados.
O alerta abrange instalações que atendem requisições web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto PHP aponta o mod_php como o cenário de maior risco demonstrado. Por isso, a revisão precisa considerar o PHP utilizado pelo servidor, e não apenas o CMS instalado.
A resposta da WordPane Cloud
Desde o primeiro dia, levamos as correções aos servidores de clientes nas soluções WordPane Cloud. A atuação também contemplou o alerta complementar de 23 de outubro, identificado como CVE-2026-115560.
Esse trabalho acontece na camada que executa as aplicações. Atualizar o WordPress, um plugin ou um tema é uma tarefa diferente de corrigir o PHP do servidor. Cuidar das duas camadas faz parte da manutenção de um site.
Para quem mantém uma loja, um portal ou vários sites de clientes, essa resposta reduz a necessidade de acompanhar cada aviso técnico para solicitar o tratamento da infraestrutura à nossa equipe.
As correções de 21 de outubro e o alerta adicional
O comunicado de 21 de outubro lista PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 como versões com as correções das duas falhas iniciais. Distribuições Linux também podem entregar ajustes por pacotes com backports, preservando a numeração base. A conferência deve considerar o pacote do fornecedor.
Já o aviso de 23 de outubro trata de uma condição incomum envolvendo a configuração de sessões e o comportamento da aplicação. Ele não foi resolvido pelas atualizações do dia 21. Até a próxima versão regular, o projeto PHP orienta desativar session.upload_progress.enabled nos ambientes correspondentes e reiniciar os workers. Na data deste artigo, essa medida continua sendo relevante para o alerta complementar.
O que continua importante na sua aplicação
A correção do PHP trata as vulnerabilidades divulgadas nessa camada. A manutenção do código da aplicação e de seus componentes continua necessária.
- Mantenha o CMS, os plugins, os temas e as dependências atualizados.
- Revise contas administrativas e permissões de acesso.
- Mantenha cópias de recuperação e confira se elas podem ser restauradas.
- Investigue alterações inesperadas, novos arquivos ou erros fora do padrão.
Dúvidas sobre o seu ambiente?
Se você é cliente e precisa confirmar o tratamento de um servidor específico, abra um chamado pelo painel e informe qual ambiente deseja consultar. Nossa equipe pode orientar a conferência conforme a configuração utilizada.
Este artigo registra nossa resposta ao episódio de outubro de 2026. As referências abaixo permitem acompanhar os comunicados originais e eventuais atualizações do projeto PHP.
Fale com a equipe sobre seu servidor
Acesse o painel para abrir um chamado e tirar dúvidas sobre o ambiente da sua aplicação.
Abrir chamado no painelConsultar a documentação do painel
