Seu sistema roda PHP anterior ao 8.2? A falha de outubro não tem atualização oficial para ele

Imagine abrir o computador na segunda de manhã e descobrir que a loja virtual saiu do ar, ou que os seus clientes estão recebendo e-mails estranhos em nome da sua empresa. Quase sempre isso começa por algo que ninguém estava olhando: a versão de um software esquecido no servidor.

Neste momento, para muita empresa, esse software é uma versão do PHP anterior à 8.2, quase sempre o PHP 7.

Primeiro: o que é PHP e por que isso é com você

PHP é a linguagem de programação que faz funcionar uma enorme parte da internet: lojas virtuais, sites em WordPress, áreas do cliente, sistemas internos feitos sob medida. Você provavelmente nunca escolheu usar PHP. Alguém escolheu por você, anos atrás, e funcionou bem até agora.

O que aconteceu

No dia 21 de outubro, os responsáveis pelo PHP avisaram sobre duas falhas graves, com nota 9,2 numa escala que vai até 10. Na prática, elas permitem que alguém na internet tome o controle do servidor onde o seu site roda, sem precisar de senha. Cinco dias depois, a agência de cibersegurança do governo americano (CISA) colocou as duas na lista das falhas que já estão sendo usadas em ataques reais.

A correção saiu no mesmo dia 21, mas só para o PHP 8.2 e as versões mais novas. Quem está numa versão anterior (todo o PHP 7, o 8.0 e o 8.1) ficou sem atualização oficial, e isso muda tudo: não adianta apertar o botão de atualizar, porque para essas versões não existe uma versão corrigida pronta para instalar.

O que isso pode custar

O pior cenário é o site ou o sistema cair no meio do expediente, ou justo no dia da campanha de vendas. Mas há outros, e nem sempre fazem barulho. Dados de clientes podem vazar, como cadastros, pedidos e e-mails, e além do estrago na confiança isso pode virar processo e multa pela LGPD. O servidor também pode passar a trabalhar para os criminosos, mandando spam ou espalhando golpes, até o Google começar a avisar que o seu site é perigoso. E a conta da limpeza costuma ser bem maior que a da prevenção.

Não estamos dizendo isso para assustar. Falhas assim são exploradas em massa, por robôs que varrem a internet atrás de qualquer servidor vulnerável. Ninguém precisa escolher a sua empresa de propósito: basta ela estar no caminho.

Então é só atualizar?

Seria ótimo, mas quase nunca é simples. Quem ainda está numa versão anterior à 8.2 costuma ter um bom motivo: o sistema funciona, dá dinheiro e ninguém quer mexer. A passagem para o PHP 8 muda regras da linguagem, e partes que funcionavam podem parar. Plugins antigos, versões velhas de frameworks e código escrito há anos são os primeiros a quebrar.

Atualizar no escuro é trocar um risco por outro. O caminho seguro é saber antes o que vai quebrar, quanto custa e em que ordem fazer.

Para saber onde você está: quem usa PHP 8.3, 8.4 ou 8.5 está protegido se atualizou depois de 21 de outubro (8.3.36, 8.4.27, 8.5.12 ou mais nova). No 8.2, a proteção vem a partir da 8.2.35, e antes disso continua exposto; o suporte dele acaba em 31 de dezembro de 2026, então já vale planejar a próxima. Abaixo disso não há atualização oficial. Para o 8.1, o 8.0 e o 7.4 existe só um remendo no código-fonte, útil para quem monta o PHP por conta própria, e para o 7.3 e anteriores não existe nada.

Não sabe qual versão você usa? Normal. Dá para descobrir agora mesmo, aqui embaixo.

Cinco perguntas para responder hoje

Antes de falar com qualquer pessoa, vale responder isto: em qual versão do PHP rodam os sites e sistemas da empresa? Quem cuida das atualizações do servidor, e essa pessoa ainda trabalha com vocês? Quando foi a última grande atualização do sistema? Se o site saísse do ar hoje, quanto a empresa perderia por dia? E existe backup recente, e alguém já testou se ele funciona?

Se alguma resposta foi "não sei", você não está sozinho. Muita empresa está no mesmo lugar, e é exatamente aí que a gente entra.

Como a 360 Brave resolve isso com você

Somos um estúdio de engenharia de software. Na análise de impacto do PHP, olhamos tudo o que a sua empresa tem rodando, explicamos o risco em linguagem de negócio e entregamos um plano com prazo e preço combinados.

Começamos conversando, do seu jeito e sem tecniquês, sobre como funciona a sua operação. Depois, com acesso só de leitura, levantamos todos os sites e sistemas em PHP, as versões, o que está exposto na internet e o que quebraria numa atualização. O resultado é uma lista do que fazer primeiro, pelo tamanho do risco para o negócio, com prazo e preço, incluindo medidas imediatas para diminuir a exposição enquanto a atualização não fica pronta. Aí atualizamos em etapas, com testes e um plano de volta, para o sistema não parar. Se preferir, entregamos o plano para o seu time executar.

Depois, se fizer sentido, cuidamos do seu servidor de forma contínua. Assim a próxima falha vira uma atualização de rotina, e não uma emergência na segunda de manhã.

Se quiser saber se a sua empresa está exposta, chame a gente. Primeiro escutamos e entendemos o que vocês têm rodando; depois de olhar com cuidado, propomos escopo, prazo e preço. Se não estiver exposta, a gente diz isso também.