FAQ
Perguntas frequentes
Respostas curtas sobre as funcionalidades, os resultados e o tratamento de dados.
O que o PHP Checker verifica?
O PHP Checker avalia indícios de versão do PHP para exatamente duas falhas de segurança: CVE-2026-109618 e CVE-2026-109619. Na verificação externa, o serviço acessa uma vez o endereço informado e lê os cabeçalhos de resposta adequados (X-Powered-By, Server). Como alternativa, você pode digitar uma versão ou informação de pacote ou confirmar a versão real com um arquivo de verificação. Todos os caminhos usam as mesmas regras de avaliação.
Quais são as duas falhas de segurança consideradas na verificação?
CVE-2026-109618 (execução de código após uma interrupção por falta de memória) e CVE-2026-109619 (execução de código por estado global desatualizado em processos worker). Segundo o projeto PHP, ambas foram corrigidas nas versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Detalhes e fontes estão em Falhas do PHP.
A verificação consegue detectar se meu site está infectado?
Não. O serviço não verifica infecções e não examina arquivos do servidor. Por isso, o resultado sempre mostra “Infecção: não verificada”. Se você suspeitar de um ataque, peça a especialistas que examinem o servidor – uma atualização posterior não remove malware que já tenha sido introduzido.
Por que não é possível identificar minha versão do PHP?
Muitos sites ou serviços intermediários (proxy, CDN, sistema de proteção) ocultam as informações de versão. Isso é comum e, por si só, não é um problema de segurança. Mas também não permite nenhuma conclusão sobre a segurança. Você não precisa exibir publicamente a versão: use o arquivo de verificação ou confira a versão ativa do PHP no painel de hospedagem.
Um indício de versão adequado significa que todo o meu site está seguro?
Não. Um indício de versão se refere apenas às versões analisadas e a estes dois CVEs. Ele não é verificado, não confirma o pacote realmente instalado nem todos os processos PHP em execução e não exclui outros riscos nem um comprometimento anterior.
O que são backports de fornecedores?
Distribuições Linux e provedores de hospedagem muitas vezes incorporam correções de segurança em versões de pacote mais antigas sem aumentar o número de versão do PHP – reconhecível por uma revisão do fornecedor como “8.3.6-0ubuntu0.24.04.5”. Nesse caso, o que vale é o aviso de segurança do fornecedor para exatamente essa versão do pacote e os dois CVEs. Sem essa comprovação, o resultado é “Verificação do fornecedor necessária”.
Por que a versão do PHP no terminal pode ser diferente?
Servidor web, pools do PHP-FPM, containers e a linha de comando podem usar runtimes PHP diferentes. php -v mostra apenas a versão da linha de comando. O mais confiável é a versão que o site realmente executa – e é exatamente essa que o arquivo de verificação mostra.
O que devo fazer se minha versão for mais antiga?
Verifique com seu provedor de hospedagem ou administrador qual versão do pacote está realmente em uso. Peça a instalação de uma atualização confirmada, reinicie os processos PHP afetados (por exemplo, PHP-FPM, Apache) e depois confira de novo a versão em execução. Se houver suspeita de um ataque anterior, também é necessário examinar o servidor.
Quais dados são processados na verificação?
Na verificação externa, seu navegador envia o endereço informado ao nosso servidor. Ele consulta o DNS e acessa o endereço uma vez; o site de destino vê o endereço IP do nosso servidor, não o seu. O resultado é devolvido apenas ao seu navegador. Para proteção contra abuso, armazenamos por pouco tempo uma chave pseudonimizada do seu endereço IP. A avaliação manual é feita inteiramente no seu navegador. Os detalhes estão na Política de Privacidade.
Sua pergunta não está aqui? Fale com a Denkcode.