Corrigir o problema

Fechar as falhas do PHP – passo a passo

Escolha onde o seu site está rodando. Mostramos exatamente o que fazer – ou a Denkcode faz por você.

Escolha a sua situação abaixo, em “Todos os guias”.

Ainda não verificou se é afetado? Verifique rapidinho primeiro

O objetivo: no mínimo esta versão

PHP 8.2a partir de 8.2.35
PHP 8.3a partir de 8.3.36
PHP 8.4a partir de 8.4.27
PHP 8.5a partir de 8.5.12

Vale para CVE-2026-109618 e CVE-2026-109619. O PHP 8.1 e versões mais antigas não recebem mais atualizações – nesse caso, só resolve mudar para um ramo mais novo.

Antes

Antes de começar

Faça um backup: salve arquivos e banco de dados – a maioria dos provedores oferece uma função de backup na área do cliente.
Anote a versão atual: descubra-a com o arquivo de verificação para poder comparar antes e depois.
Ficar no mesmo ramo é o mais simples: uma atualização de, por exemplo, 8.3.20 para 8.3.36 traz apenas correções de erros. Uma mudança de ramo (ex.: 8.1 → 8.3) deve ser testada antes.

Para consulta

Todos os guias

Toque na sua situação. Se estiver em dúvida: se você tem uma área do cliente em um provedor de hospedagem e não tem acesso ao servidor por SSH, é quase sempre “Plano de hospedagem”.

Alojamento partilhadoPainel de cliente num fornecedor, sem servidor próprio – o cenário mais frequente

Num pacote de alojamento partilhado (p. ex., 1blu, PTisp, Dominios.pt, IONOS, Hetzner, Strato), o fornecedor aplica as atualizações de segurança. Tu apenas selecionas o ramo do PHP.

Inicia sessão na área de cliente do teu fornecedor de alojamento.
Acede ao teu pacote de alojamento e procura por «Versão de PHP» ou «Definições de PHP» (consoante o fornecedor, por vezes em «Domínios» ou «Configurações»).
Verifica qual a versão de PHP definida. Se indicar 8.1 ou anterior, escolhe PHP 8.3 ou 8.4 e guarda. Caso contrário, mantém o teu ramo – o fornecedor instala os patches de segurança.
Verifica com o ficheiro de teste se uma versão corrigida (8.2.35, 8.3.36, 8.4.27, 8.5.12) está ativo. Caso contrário: contacta o fornecedor (modelo abaixo).

PleskPainel de administração Plesk

Entrar no Plesk → Websites e Domínios → selecionar o teu domínio.
Clicar em «PHP» ou «Definições de PHP».
Em «Versão de PHP», selecionar 8.3 (ou superior), manter a execução como «Aplicação FPM», clicar em OK.
Como administrador do servidor adicionalmente: abrir Ferramentas e Definições → Atualizações e instalar as atualizações de componentes PHP disponíveis (designação conforme a versão do Plesk).
Controlar com o ficheiro de teste se uma versão corrigida (8.2.35, 8.3.36, 8.4.27, 8.5.12) está ativo.

cPanelPainel de administração cPanel / WHM

Entrar no cPanel e abrir «Gestor MultiPHP» (em alguns fornecedores chama-se «Selecionar Versão do PHP» ou «Select PHP Version»).
Marcar o teu domínio, selecionar PHP 8.3 (ou mais recente) e clicar em Aplicar.
A versão com correção é instalada pelo fornecedor ou administrador do servidor (no WHM através das atualizações do sistema).
Controlar com o ficheiro de teste se uma versão corrigida (8.2.35, 8.3.36, 8.4.27, 8.5.12) está ativo. Se não estiver: contactar o fornecedor (texto abaixo).

Servidor próprio: Ubuntu ou DebianAcesso por SSH, pacotes através de apt

Exemplo para o PHP 8.3 – substitua 8.3 pelo seu ramo. No resultado da verificação, o assistente insere sua versão automaticamente.

Apresentar pacotes PHP instalados:

dpkg -l | grep -E '^ii +php[0-9.]+-(fpm|cli|common)'

Atualizar os repositórios e os pacotes PHP deste ramo:
```
sudo apt update && sudo apt install --only-upgrade 'php8.3*'
```

Reiniciar os processos PHP:

sudo systemctl restart php8.3-fpm
sudo systemctl restart apache2   # ou: sudo systemctl restart nginx

Verificar a versão:
```
php8.3 -v
```
A linha de comandos pode diferir – o resultado do ficheiro de teste é determinante.
Se a versão continuar abaixo da versão corrigida (comum em distribuições estáveis), verifica a existência de backports:
```
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961[89]'
```
Se surgirem ambos os identificadores CVE, a correção está presente. Caso contrário, obtém pacotes de uma fonte atualizada (p. ex., Ondřej Surý) ou consulta o administrador.

Servidor próprio: AlmaLinux, Rocky, RHELAcesso por SSH, pacotes através de dnf

Exemplo para o PHP 8.3 – substitua 8.3 pelo seu ramo. No resultado da verificação, o assistente insere sua versão automaticamente.

Atualizar os pacotes PHP (p. ex., a partir de Remi ou AppStream):
```
sudo dnf upgrade 'php*'
```

Reiniciar PHP-FPM e o servidor web:

sudo systemctl restart php-fpm
sudo systemctl restart httpd   # ou: sudo systemctl restart nginx

Caso a versão se mantenha abaixo do nível corrigido, verifica o backport:
```
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961[89]'
```
Controlar com o ficheiro de teste se uma versão corrigida (8.2.35, 8.3.36, 8.4.27, 8.5.12) está ativo.

DockerO PHP corre dentro de um contentor

Exemplo para o PHP 8.3 – substitua 8.3 pelo seu ramo. No resultado da verificação, o assistente insere sua versão automaticamente.

No Dockerfile, define a imagem base para a versão corrigida (escolhe a variante -fpm, -apache ou -cli adequada):
```
FROM php:8.3.36-fpm
```
Assim que a imagem oficial for disponibilizada; em alternativa, descarrega php:8.3-fpm novamente.
Reconstruir a imagem e reiniciar o contentor:
```
docker compose build --pull
docker compose up -d
```
Verificar a versão no interior do contentor (ajusta o nome do serviço):
```
docker compose exec app php -v
```

Não dá para atualizar?

Escreva para o seu provedor – o texto está pronto

Se você não consegue mudar a versão por conta própria ou se a versão corrigida ainda não está disponível, copie este texto, complete o domínio e o nome e envie ao seu provedor.

Olá,

para o meu website [O TEU DOMÍNIO], pretendo solucionar as vulnerabilidades de segurança críticas de PHP CVE-2026-109618 e CVE-2026-109619 (anunciadas a 21/10/2026). De acordo com o projeto PHP, estas foram corrigidas nas seguintes versões: PHP 8.2: a partir de 8.2.35, PHP 8.3: a partir de 8.3.36, PHP 8.4: a partir de 8.4.27, PHP 8.5: a partir de 8.5.12.

Agradeço que
1. alterem o meu website para uma versão corrigida ou instalem a referida versão, informando-me da versão exata aplicada, ou
2. confirmem que o vosso pacote inclui um backport de segurança para ambos os CVEs.

Para quando é previsível esta intervenção?

Muito obrigado pela colaboração e com os melhores cumprimentos,
[O TEU NOME]

Depois

Confira se deu certo

Reinicie os processos PHP ou aguarde alguns minutos até o provedor aplicar a mudança.
Abra o site no navegador e teste rapidamente as páginas e formulários mais importantes.
Faça uma nova verificação confirmada com o arquivo de verificação – ele mostra a versão que o seu site realmente executa.
Depois, exclua o arquivo de verificação.

Caso especial

Versão antiga (PHP 8.1 ou anterior)

Para esses ramos, o projeto PHP não oferece mais atualizações de segurança. Mudar para 8.3 ou 8.4 pode afetar plugins, temas ou códigos próprios mais antigos. Veja como fazer com segurança:

Faça um backup.
Atualize primeiro o CMS (por exemplo, WordPress, Shopware, TYPO3), os plugins e os temas.
Se possível, mude primeiro uma cópia de teste (staging) – muitos provedores oferecem isso com um clique.
Mude a versão do PHP e teste o site com cuidado. Se houver problemas, geralmente dá para reverter a configuração na hora pela área do cliente.

Importante

Uma atualização não remove um ataque anterior

As duas falhas estiveram abertas até a publicação em 21/10/2026. A atualização as fecha para o futuro, mas não remove nada que tenha sido introduzido antes. Fique atento a arquivos desconhecidos, novas contas de administrador ou comportamentos incomuns e, na dúvida, peça a especialistas que examinem o servidor.

Prefere que alguém faça por você?

A Denkcode verifica a versão real do PHP e ajuda na atualização. Escreva para anfrage@php-checker.de ou ligue.

Falar com a Denkcode