Falha grave no PHP deixa sites WordPress abertos pra invasão. Atualiza hoje e depois repensa o teu site

Se o site da tua empresa é em WordPress, para um minuto e lê isso até o fim.

No dia 21 de outubro o PHP, a linguagem que roda por baixo do WordPress, soltou correção pra duas falhas críticas. Juntas, elas ganharam o apelido de php2shell e levaram nota 9,2 de 10 em gravidade. Na prática, permitem que um invasor rode código dentro do servidor do teu site sem precisar de login nenhum.

E não é teoria. A Amazon registrou a primeira tentativa de ataque no dia 17 de outubro, quatro dias antes da falha virar pública. A Cloudflare e outras empresas de segurança também já estão vendo ataques acontecendo.

Detalhe que diz muito sobre o momento: as empresas que acharam as falhas contaram que usaram IA na pesquisa. A IA está ajudando a achar brecha mais rápido. Dos dois lados.

Por que o teu site está no meio disso

O WordPress funciona em cima do PHP. Então a falha está embaixo do WordPress, dos plugins e do tema. Atualizar o WordPress não resolve nada dessa vez. O próprio WordPress.org avisou que não tem atualização dele prevista pra isso.

Traduzindo: quase todo site WordPress que está no ar hoje está exposto até o PHP do servidor ser atualizado.

O que fazer hoje

1. Descobre a versão do PHP. No painel do WordPress, vai em Ferramentas, Saúde do Site, Info, Servidor. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Se a tua estiver abaixo disso na mesma linha, está vulnerável.

2. Vê quem cuida do teu servidor.

• Hospedagem WordPress gerenciada: a empresa aplica a correção. Teu trabalho é confirmar com eles.
• Hospedagem compartilhada (essas com cPanel): o host aplica, mas acompanha o aviso e confirma.
• Servidor próprio ou VPS: ninguém vai fazer por você. Quem administra precisa atualizar o PHP e reiniciar hoje.

3. Se ainda roda PHP 8.1 ou anterior, o problema é maior. Essas versões não têm correção oficial pronta. O caminho é subir pra 8.2 ou mais nova, testando antes, porque tema e plugin antigo podem quebrar.

4. Enquanto não atualiza, põe uma camada na frente. A Cloudflare liberou regra de proteção contra esse ataque até no plano grátis. Ajuda, mas não substitui a atualização.

Agora a pergunta que eu quero que você faça

Passada a correria, vale pensar: o teu site precisa mesmo ser WordPress?

Eu vejo isso direto. Empresa com site institucional de cinco páginas rodando WordPress, quinze plugins, painel que ninguém abre há meses e PHP desatualizado. Cada plugin é uma porta a mais. Cada atualização esquecida é uma janela aberta. E o dono só descobre quando o site aparece com propaganda de cassino.

WordPress faz sentido em alguns casos, como blog grande com vários redatores ou loja que já está montada nele. Mas pra maioria dos negócios, que precisa de um site rápido que apresenta, convence e leva pro WhatsApp, ele virou uma estrutura pesada demais pra cuidar.

Um site moderno, entregue como arquivos prontos, não tem PHP rodando por trás. Essa falha de hoje nem encosta nele. Não existe site invulnerável, e quem te prometer isso está mentindo. Mas menos peça rodando significa menos coisa pra quebrar e menos porta pra invasor. De quebra, ele costuma ficar mais leve, e site leve carrega rápido e ranqueia melhor.

Fecha comigo

Hoje a prioridade é uma só: atualizar o PHP. Depois disso, olha pro teu site com outra pergunta na cabeça: ele está te ajudando a vender ou só te dando trabalho de manutenção?

Se você quer sair do WordPress pra um site moderno, leve e sem essa dor de cabeça, me chama. A gente faz essa migração mantendo teu conteúdo e teu endereço no Google.