Alerta: falhas críticas no PHP e o risco de sumir do Google

O que aconteceu

Em 21 de outubro de 2026, pesquisadores da Calif, da Wiz e da OpenAI, com apoio de outras empresas, divulgaram 2 vulnerabilidades críticas no PHP (CVE-2026-109618 e CVE-2026-109619), apelidadas de "php2shell". Segundo a OpenAI, modelos de IA tiveram papel central na descoberta. As falhas permitem executar código no servidor sem login, atingem instalações que servem páginas na web a partir do PHP 5.4 e têm gravidade 9,2 numa escala de 10 (CVSS 4.0). A Palo Alto Networks identificou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis.

As correções saíram no mesmo dia, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. A CERT-EU, equipe de resposta a incidentes da União Europeia, orientou quem não conseguisse atualizar a considerar tirar os sites afetados do ar. Empresas como Cloudflare e Amazon registraram tentativas de ataque antes mesmo da publicação das correções, e em 26 de outubro a CISA, agência de cibersegurança dos Estados Unidos, incluiu as 2 falhas no seu catálogo de vulnerabilidades exploradas ativamente.

Por que isso atinge tanta gente

O PHP está por trás de quase 70% dos sites, segundo a W3Techs, incluindo os feitos em WordPress, Drupal, Joomla e Magento. Por isso, uma parte enorme dos sites institucionais, lojas virtuais e blogs precisa dessa atualização, mesmo que o dono nunca tenha ouvido falar em PHP. Como a falha está no próprio PHP, atualizar só o WordPress ou os plugins não resolve: é preciso atualizar o PHP do servidor.

Uma falha desse tipo permite que um invasor assuma o controle do servidor, roube dados e altere o conteúdo do site.

O que isso tem a ver com o Google

É importante separar 3 coisas. Uma falha de segurança, por si só, não tira posições: o Google não sabe qual versão do PHP o seu servidor usa. O que afeta a busca são as consequências possíveis: o site ficar indisponível, ser invadido ou ter o conteúdo alterado. E a desindexação, quando acontece, é o efeito final de uma dessas situações, não da falha em si.

• Site fora do ar por muito tempo: quando o Google encontra erros seguidos, ele reduz o rastreamento e, se a indisponibilidade se prolonga por dias, pode tirar as páginas do índice.
• Site invadido: invasores costumam injetar páginas de spam, links ocultos ou redirecionamentos. O Google pode exibir alertas de segurança, aplicar ações manuais e o site pode perder posições.
• Conteúdo alterado: páginas desfiguradas ou com código malicioso perdem confiança diante de usuários e buscadores.

Recuperar um posicionamento perdido por invasão costuma levar bem mais tempo do que aplicar a correção.

O que fazer agora

• Confirme com a sua hospedagem se o PHP do servidor já está numa versão corrigida (8.5.12, 8.4.27, 8.3.36, 8.2.35 ou mais recente).
• Atualize o WordPress (ou outro sistema), os plugins e os temas.
• Faça um backup completo antes e depois das atualizações.
• No Google Search Console, verifique os relatórios de segurança, de ações manuais e de indexação.
• Pesquise site:seudominio.com.br no Google e procure páginas que você não criou.
• Troque senhas de acesso ao painel, à hospedagem e ao banco de dados se houver qualquer suspeita.