Seu site está seguro?

O que o SPB Verifique seu site analisa

A ferramenta acessa a página inicial do seu site como um visitante comum e confere os sinais de segurança que qualquer pessoa consegue ver de fora. Ela não tenta invadir, não testa senhas e não altera nada.

• Alerta PHP2Shell: procura sinais de que o site usa PHP e, quando o servidor informa a versão, compara com as versões corrigidas.
• Firewall de aplicação: verifica se o site passa por um firewall conhecido, como o Cloudflare, que bloqueia tentativas de ataque ao PHP.
• HTTPS e certificado SSL: confere se o site tem cadeado, se o certificado é válido, para qual domínio foi emitido e quando vence.
• Redirecionamento: verifica se quem digita o endereço sem "https" é levado para a versão segura.
• Cabeçalhos de segurança: confere as proteções que o servidor envia ao navegador, como HSTS, política de conteúdo e proteção contra enquadramento.
• Informações expostas: verifica se o site divulga versões de software, mensagens de erro técnicas ou lista de arquivos.

O que é o PHP2Shell e por que ele importa

PHP2Shell é o nome dado às falhas CVE-2026-109618 e CVE-2026-109619 no PHP, a linguagem usada pelo WordPress e pela maioria dos sites. Duas falhas no núcleo do PHP que podem permitir que um invasor execute código no servidor sem precisar de login. A nota de gravidade é 9.2 (CVSS v4.0), e há relatos de tentativas de ataque.

O PHP lançou as correções nas versões 8.2.35, 8.3.36, 8.4.27, 8.5.12. As versões 8.1 e anteriores não receberam atualização oficial: ou o servidor migra para uma versão suportada, ou a hospedagem precisa aplicar a correção por conta própria.

Como as falhas funcionam

As duas falhas estão na forma como o PHP cuida da memória quando algo dá errado no meio de uma requisição. Na primeira, o PHP fica sem memória antes de terminar de preparar alguns dados e, na limpeza, usa esses dados incompletos como se fossem válidos. Na segunda, um erro fatal deixa referências para uma memória que já foi liberada, e a requisição seguinte no mesmo processo pode usá-la. Com requisições preparadas para isso, um invasor pode travar o PHP, ver dados de outros visitantes ou executar código no servidor. Atualizar o WordPress ou os plugins não corrige: a correção é no PHP do servidor.

Firewall ajuda, mas não substitui a atualização

Firewalls de aplicação, como o do Cloudflare, passaram a bloquear as tentativas de ataque conhecidas, inclusive no plano gratuito. É uma camada extra importante enquanto o PHP é atualizado, mas novas variações de ataque surgem e só a atualização fecha as falhas. A análise mostra se o seu site passa por um firewall desses.

Por que nem sempre dá para confirmar de fora

Muitos servidores escondem a versão do PHP, o que é uma boa prática. E algumas hospedagens aplicam a correção sem mudar o número da versão. Por isso, quando a versão não aparece, o resultado diz que não foi possível confirmar, em vez de dizer que está tudo bem. A confirmação de verdade é feita dentro do servidor, por quem cuida dele.

O que pedir para quem cuida do seu servidor

• Conferir a versão do PHP que realmente executa o site, e não só a do terminal.
• Verificar todos os modos em uso: PHP-FPM, PHP-CGI, mod_php ou LSAPI/LiteSpeed.
• Atualizar para 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou mais novas, e reiniciar os processos do PHP.
• Manter o firewall de aplicação ativo (por exemplo, o WAF do Cloudflare) e limitar o tamanho dos uploads enquanto a atualização não sai.
• Em PHP 8.1 ou anterior, migrar para uma versão suportada ou confirmar com a hospedagem que a correção foi aplicada.

Como funciona a análise

Você digita o endereço, confirma que pode analisar o site e clica em analisar. Em poucos segundos aparece um resumo com o que está aprovado, o que merece atenção e o que é risco. Cada item explica o problema em linguagem simples e traz uma recomendação para quem cuida do site. Itens que não puderam ser confirmados aparecem como não verificados, e nunca como aprovados.