Para conferir se seu WordPress recebeu a correção da falha no PHP, identifique a versão usada pelo site e confirme o patch com a hospedagem. Atualizar o WordPress não comprova a atualização do PHP. Em alguns planos gerenciados, a correção é aplicada sem mudar o número de versão exibido.
O alerta interessa a quem depende do site para receber visitas, apresentar serviços ou captar contatos. A decisão prática é descobrir quem administra esse ambiente e obter uma confirmação verificável, antes de mexer na configuração de uma operação em funcionamento.
Informações verificadas em 22 de outubro de 2026. Este roteiro cobre consulta e confirmação do patch; não inclui teste de invasão ou atualização executada em servidor.
Falha no PHP no WordPress: o que conferir?
Em 21 de outubro de 2026, o projeto PHP publicou correções para as vulnerabilidades CVE-2026-109618 e CVE-2026-109619. As versões corrigidas divulgadas são 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O aviso trata de falhas que podem permitir execução remota de código em ambientes afetados. Consulte o comunicado oficial do PHP para o contexto técnico e atualizações.
A prioridade é confirmar e aplicar o patch necessário com o responsável técnico. Medidas temporárias de proteção não substituem a correção indicada pelo fornecedor.
A aplicação da correção depende da distribuição e do provedor. Uma hospedagem pode incorporar o patch ao pacote que já utiliza, processo conhecido como backport. Por isso, um número inferior ao da versão upstream não basta para concluir que o serviço continua sem proteção.
Primeiro, encontre a informação no WordPress
- Entre no painel administrativo do site.
- Abra Ferramentas → Diagnóstico do site, também chamado Saúde do site, conforme a tradução.
- Selecione Informações e expanda Servidor.
- Anote a versão do PHP exibida, o domínio conferido e a data da consulta.
Esse caminho é de consulta: você não precisa instalar um plugin nem alterar a versão para obter a informação. A documentação de atualização do PHP do WordPress explica a responsabilidade da hospedagem e os cuidados de compatibilidade.
Um diagnóstico geral positivo ajuda a acompanhar o site, mas não funciona como certificado para essas duas vulnerabilidades. A confirmação precisa se referir ao pacote aplicado no ambiente que executa o WordPress.
Escolha o caminho conforme sua hospedagem
No celular, deslize a tabela para ver todas as colunas.
| Situação | O que conferir | Quem confirma |
|---|---|---|
| Servidor com PHP upstream administrado pela sua equipe | Versão corrigida da mesma linha e ambiente efetivo do site | Responsável pela infraestrutura |
| Hospedagem gerenciada que aplica patches próprios | Comunicado do provedor e identificação do build/pacote corrigido | Provedor, para o plano e domínio certos |
| PHP 8.1 ou anterior | Linha fora do suporte upstream; confirmar eventual backport do fornecedor e planejar migração compatível | Provedor e administrador responsável |
| VPS ou servidor com gestão própria | Pacotes da distribuição, configuração do serviço e aplicação do patch | Administrador do servidor |
Não compare apenas a versão mostrada no terminal com a do site: ambientes diferentes podem usar instalações diferentes de PHP. Se o painel da hospedagem e o WordPress apresentarem versões distintas, registre a divergência e peça ao responsável que identifique o runtime efetivo antes de encerrar a checagem.
Hostinger: o número pode continuar igual depois do patch
No comunicado atualizado em 22 de outubro, às 06:44 UTC, a Hostinger informa que concluiu as correções nos servidores de hospedagem gerenciada. Explica também que o patch pode ser incorporado sem alterar o número de versão mostrado.
Segundo esse comunicado, o cliente pode consultar Sites → Painel de controle → Informações de PHP no hPanel. O campo Build Date a partir de 21 de outubro de 2026 atende ao critério de confirmação indicado pelo provedor. Se essa tela e o WordPress mostrarem versões diferentes, peça a confirmação do ambiente que atende o site; a data de outro runtime não encerra a checagem.
A orientação se refere aos planos gerenciados citados no aviso. Clientes de VPS administram o próprio PHP. Se você usa outro provedor, procure o comunicado dele; a conclusão da Hostinger não se aplica automaticamente a outras empresas.
Mensagem pronta para confirmar com o provedor
Quando a informação não estiver clara, adapte este texto ao seu domínio e envie pelo canal oficial de suporte da sua hospedagem:
Preciso confirmar a aplicação das correções CVE-2026-109618 e CVE-2026-109619 no ambiente que executa o WordPress de [domínio]. O painel do WordPress mostra [versão] e a hospedagem mostra [versão/build, se disponível], consultados em [data]. Este plano recebeu o patch? Qual pacote ou build comprova a correção no runtime efetivo do site? Existe alguma ação necessária da minha parte?
O resultado esperado é uma resposta específica para o plano e ambiente, com referência ao patch ou ao comunicado aplicável. Uma resposta genérica sobre “WordPress atualizado” não resolve essa pergunta.
Se houver mudança necessária, quem aprova?
O provedor ou administrador deve orientar a aplicação da correção. Antes de uma mudança de versão que possa afetar o site, confirme backup recuperável, compatibilidade do tema e dos plugins e uma forma de testar o resultado. Não salte para outra versão principal só porque apareceu um alerta.
Depois de uma intervenção real, o responsável deve conferir o ambiente atualizado e os fluxos usados pelo negócio: página de serviço, formulário, login e checkout, quando houver. Registrar a confirmação do patch e o resultado desses testes permite fechar a tarefa com evidência.
Essa checagem pode organizar uma rotina de manutenção, mas não deve virar uma alteração automática sem responsável. O dono do negócio aprova a intervenção que afeta sua operação; a equipe técnica confirma como executá-la.
Feche a tarefa com evidência: registre domínio, data, confirmação do ambiente efetivo e responsável. Se houver intervenção, inclua o resultado dos testes dos fluxos do negócio.
Para organizar a manutenção além deste alerta, consulte o guia de estrutura e operação de um blog WordPress, que reúne os cuidados de configuração, backup e plugins. Outros tutoriais estão na seção WordPress do Tráfego.
Perguntas rápidas
Atualizar o WordPress corrige a falha no PHP?
Não comprova essa correção. WordPress e PHP são camadas diferentes. É preciso verificar o PHP que executa o site e o patch do fornecedor responsável.
Uma versão antiga significa que o site está vulnerável?
Não necessariamente. Pode existir backport de segurança. Confira o pacote, build e comunicado do fornecedor para o ambiente efetivo.
Preciso criar um arquivo público de diagnóstico?
Para a conferência descrita aqui, use as áreas autenticadas do WordPress e da hospedagem. Se a informação não bastar, peça a confirmação ao administrador, sem publicar detalhes do servidor.
Posso concluir que meu site foi invadido?
O alerta e o número de versão não comprovam uma invasão. Uma suspeita concreta exige investigação própria, separada da confirmação de que o patch foi aplicado.
