Uma nova vulnerabilidade de segurança envolvendo o PHP foi confirmada em 26 de outubro de 2026. A falha, identificada como CVE-2026-111497, afeta a biblioteca Brotli, utilizada para compressão e descompressão de dados, e pode permitir a execução de código malicioso em determinadas condições.
O comunicado oficial do PHP anunciou a atualização dos pacotes para Windows, mas o problema também merece atenção de administradores de servidores Linux, dependendo das bibliotecas instaladas. 2026+1
Para quem administra sites WordPress, a notícia reforça uma questão frequentemente negligenciada: manter o WordPress atualizado não significa necessariamente manter toda a infraestrutura segura.
O que aconteceu com o PHP?
A equipe do PHP publicou, em 21 de outubro, atualizações para corrigir outras duas vulnerabilidades críticas. Apenas cinco dias depois, em 26 de outubro, anunciou novos pacotes para Windows, desta vez com a biblioteca Brotli 1.2.1.
As versões corrigidas para Windows são:
- PHP 8.2.35-1
- PHP 8.3.36-1
- PHP 8.4.27-1
- PHP 8.5.12-1
A vulnerabilidade do Brotli pode ser explorada quando uma aplicação utiliza um componente vulnerável para descomprimir dados manipulados. No PHP para Windows, uma das possíveis vias envolve a extensão cURL, quando a descompressão automática de respostas HTTP está habilitada. PHP News+1
Isso não significa que qualquer site PHP possa ser invadido automaticamente. A exposição depende da configuração e das dependências utilizadas pelo servidor.
Sites WordPress hospedados na Hostinger ou Locaweb correm risco?
Não existe evidência, nas fontes consultadas, de que todos os sites hospedados nessas empresas estejam vulneráveis.
A correção específica anunciada pelo PHP refere-se aos pacotes oficiais para Windows. Em servidores Linux, a exposição depende de fatores como a versão da biblioteca Brotli utilizada pelo sistema e a existência de componentes que executem a descompressão vulnerável.
Provedores como Hostinger e Locaweb oferecem recursos para consultar e alterar versões do PHP. Entretanto, trocar a versão do PHP no painel não garante, por si só, a correção de todas as bibliotecas do servidor. Hostinger+2
Em hospedagens compartilhadas, parte dessas atualizações depende diretamente do provedor.
O que o próprio WordPress recomenda?
A documentação oficial do WordPress recomenda PHP 8.3 ou superior como requisito moderno de hospedagem. Seu manual técnico também indica PHP 8.4 ou superior para ambientes de produção.
Embora versões antigas ainda possam funcionar, algumas já não recebem correções oficiais de segurança. WordPress.org Brasil+1
Para verificar a versão utilizada, basta acessar o painel administrativo do WordPress e seguir o caminho Ferramentas > Saúde do Site > Informações > Servidor.
Quem utiliza Hostinger pode consultar o PHP pelo hPanel, enquanto clientes da Locaweb podem verificar a versão no painel de hospedagem.
Antes de realizar alterações, é recomendável criar um backup, verificar a compatibilidade de temas e plugins e, quando possível, testar a atualização em um ambiente separado.
Segurança de sites não termina no WordPress
O episódio evidencia um problema recorrente na gestão de sites: muitas empresas investem na criação de uma presença digital, mas não estabelecem uma rotina de manutenção técnica.
WordPress, plugins, temas, PHP e bibliotecas do servidor fazem parte de uma mesma infraestrutura. Cada componente possui atualizações, dependências e responsabilidades diferentes.
Isso não significa que todo proprietário de site precise dominar essas tecnologias. Significa compreender que um site publicado continua exigindo acompanhamento técnico para permanecer funcional e seguro.
A correção de uma vulnerabilidade pode ser rápida. O problema é descobrir tarde demais que ninguém estava acompanhando as atualizações.
Fontes
- PHP.net: Updated PHP Windows builds for Brotli security fix, 26/10/2026
- Tenable: Brotli2Shell, análise da CVE-2026-111497
- WordPress.org: Requisitos oficiais de hospedagem
- WordPress Hosting Handbook: Server Environment
- Hostinger: Como alterar a versão do PHP
- Locaweb: Como alterar a versão do PHP
NEWSLETTER CRIEMMais clareza.
Mais clareza.
Novas ideias.
No seu e-mail.
Presença digital, inteligência artificial e negócios criativos para quem quer entender, criar e colocar em prática.
Sem fórmulas mágicas. Sem hype. Sem spam.
Faça parte da criem
1 e-mail por semana. Gratuito.
Cancele quando quiser. Conheça nossos termos e políticas.
