Gravidade crítica
As falhas CVE-2026-109618 e CVE-2026-109619 foram classificadas como críticas e permitem a execução remota de comandos no servidor.
Se o seu site, a sua loja virtual ou o sistema da empresa foi feito em PHP, você pode estar correndo um risco grave. Foi descoberta uma falha que atinge sites e sistemas construídos em PHP. Para explorá-la, o invasor não precisa de login nem de senha.
Você fala direto com quem desenvolve, sem intermediários. Conversa no WhatsApp, em português claro e sem compromisso.
As falhas CVE-2026-109618 e CVE-2026-109619 foram classificadas como críticas e permitem a execução remota de comandos no servidor.
O ataque acontece antes do seu sistema entrar em ação. Ter login forte não resolve: a falha está no próprio PHP.
Informações técnicas circularam horas antes da correção oficial, publicada em 21/10/2026.
“Isso não é um exercício.”Lukasz Olejnik, pesquisador de segurança, à Wired. A revista abriu a matéria dizendo que as falhas estão colocando a internet pegando fogo.
Número do mapeamento do VirusTotal. WordPress, Laravel e Nextcloud estão entre os mais comuns.
Por isso muita gente nem sabe se está na lista. Esconder a versão não protege.
PHP 5 até 8.1 também são afetados e não recebem mais atualização oficial. Só 8.2.35, 8.3.36, 8.4.27 e 8.5.12 trazem o conserto.
Se a sua empresa se encaixa em uma ou mais das opções acima, vale a pena a gente conversar ainda hoje. Chame no WhatsApp e a gente descobre juntos se você está exposto.
É mais comum do que parece. O sistema funciona, ninguém quer mexer, e o PHP ficou parado no 7.4, no 7.2, às vezes no 5.6. Só que versão antiga não recebe correção, e agora isso deixou de ser detalhe técnico e virou risco para o negócio. É exatamente o tipo de problema que a gente resolve.
Ajustamos o código, testamos numa cópia e levamos o seu sistema para uma versão do PHP que ainda recebe correções.
Quando não dá para mexer agora, isolamos o sistema e colocamos camadas de proteção para reduzir a exposição até a migração acontecer.
Às vezes o legado não tem mais conserto. A gente fala isso com franqueza e planeja a reescrita por etapas, sem parar a sua operação.
Você não precisa entender de infraestrutura nem de programação. Cada empresa tem um cenário diferente, então a gente analisa o seu, explica o risco em linguagem de negócio e cuida de tudo: da atualização à migração, quando for o caso. No fim, o seu sistema fica o mais seguro possível e você sabe exatamente o que foi feito.
Não necessariamente. A falha acontece quando o PHP processa o pedido, antes de qualquer código do seu sistema rodar. Regras de proteção na borda, como as que a Cloudflare liberou em caráter emergencial, ajudam a barrar ataques já conhecidos, mas a correção de verdade é atualizar o PHP.
Algumas atualizam, outras não, e quem está em PHP 8.1 ou anterior não tem correção oficial para receber. A gente confere a sua versão e o que a sua hospedagem já fez.
Por isso a gente testa numa cópia antes e planeja a troca. Se o sistema não aguentar a nova versão, existem alternativas para proteger enquanto ele é modernizado.
Depende do tamanho e do estado do seu sistema. Chama no WhatsApp, conta o seu caso e a gente apresenta um caminho claro.
1 em cada 3 sites PHP do mundo não tem correção oficial para essa falha. Segundo o W3Techs (21/10/2026), 34,8% rodam PHP 7 ou anterior, versões abandonadas pelo PHP e que não vão receber patch. Para esses, esperar não resolve: só migrar. É aí que a gente entra. Sistema legado travado em versão antiga é o nosso tipo de caso. Conte o que a sua empresa usa e responderemos pelo WhatsApp.