O PHP do site está corrigido contra o PHP2Shell?

Lê a versão do PHP que o servidor anuncia (ou um info.php criado pelo dono do site) e compara com as versões corrigidas das CVE-2026-109618 e CVE-2026-109619.

Versões corrigidas: PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12 (21/10/2026). PHP 7.x, 8.0 e 8.1 não recebem correção oficial.

Servidor esconde a versão? Use o info.php

Muitos servidores não anunciam a versão do PHP nos cabeçalhos e o resultado fica indeterminado. A solução leva um minuto: um arquivo que mostra só o número da versão.

  1. Criar um arquivo chamado info.php na pasta raiz do site (a mesma do index.php ou do WordPress: em geral httpdocs, public_html ou www), pelo gerenciador de arquivos do painel ou por FTP.
  2. Conteúdo do arquivo, uma linha só:
<?php echo PHP_VERSION;
  1. Abrir https://www.empresa.com.br/info.php no navegador: deve aparecer só o número, por exemplo 8.3.36.
  2. Colar esse mesmo endereço no campo acima. A leitura passa a ser exata, direto do PHP que roda o site.
  3. Apagar o arquivo depois.

O verificador também entende a página completa do phpinfo(), mas ela expõe a configuração inteira do servidor. Preferir a linha acima e apagar o arquivo ao terminar.

Sobre o PHP2Shell

CVE-2026-109618 e CVE-2026-109619, publicadas em 21/10/2026, nota 9,2 de 10 (CVSS 4.0). Falhas no motor do PHP que permitem executar comandos no servidor sem login, antes de o site carregar. Afetam qualquer sistema em PHP (WordPress, WooCommerce, Magento, Drupal, Joomla, intranets, ERPs web). Versões corrigidas: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. PHP 7.x, 8.0 e 8.1 não recebem correção oficial e precisam migrar. Já há tentativas de ataque circulando.