O que conferir no seu site em 21 de outubro

4 itens neste dia. Um vale para todos os sites; os outros três só importam se você usa o software citado.

Resumo em 10 segundos

Não usa LatePoint, Weglot nem Payment Gateway for Telcell? Confira só o item para todos os sites e pronto: seu site não precisa de mais nada desta nota.

Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.

Para todos os sites

Atue hojeAtaques em andamentoVale para todos os sites

Alerta crítico: falhas “PHP2Shell” no PHP permitem invadir sites WordPress e já estão sendo exploradas (CVE-2026-109618 e CVE-2026-109619) <span class="bcn-relev-wrap"><span class="wpbr-selos-card"><span class="wpbr-selo wpbr-selo--alta"><span class="wpbr-selo__ponto" aria-hidden="true"></span>Atue hoje</span><span class="wpbr-etiqueta wpbr-etiqueta--todos">Todos os sites</span></span></span>

Afeta: qualquer site que roda PHP, com ou sem plugins.

Duas falhas no próprio PHP permitem que um invasor execute código no servidor sem login, e já há ataques. Afeta qualquer site em PHP, com ou sem plugins; a correção é atualizar o PHP.

Você mesmo

  • Veja a versão do PHP em Ferramentas › Saúde do site › Informações › Servidor.
  • Peça à hospedagem a atualização de segurança do PHP de 21/10 e a data em que será aplicada.
  • Está no PHP 7.x, 8.0 ou 8.1? Peça a migração para uma versão com suporte.

Seu dev ou hospedagem

  • Atualizar para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (confirme no php.net) e reiniciar PHP-FPM, Apache ou LiteSpeed.
  • Manter o WAF ativo (Cloudflare e Patchstack publicaram regras).
  • Depois do patch, procurar .php recentes em wp-content/uploads e mu-plugins e administradores desconhecidos.
CVE-2026-109618 · CVE-2026-109619 · CVSS 9,2 · Fonte: PatchstackRegistro completo →

Só se você usa estes plugins

Não está na sua lista? Pode pular.

Atualize esta semana

LatePoint

plugin de agendamentos

Vulnerável: antes da 5.7.5Seguro: 5.7.5 ou superior

Um visitante consegue zerar o valor da reserva e agendar serviços sem pagar.

Você mesmo

  • Atualize o LatePoint para a 5.7.5 ou superior.
  • Procure reservas recentes com valor zero ou abaixo do preço e cancele as indevidas.

Seu dev ou hospedagem

  • Adicionar CAPTCHA ao formulário de reserva.
  • Monitorar no WAF checkouts com valores anômalos.
CVE-2026-105256 · Fonte: WPScan (via VulDB)Registro completo →
Atualize esta semana

Weglot

tradução de sites

Vulnerável: antes da 6.4.3Seguro: 6.4.3 ou superior

Um visitante sem login consegue deixar gravado um código que roda no navegador de quem abre a versão traduzida da página. Se for um administrador logado, o invasor pode roubar a sessão.

Você mesmo

  • Atualize o Weglot para a 6.4.3 ou superior.

Seu dev ou hospedagem

  • Revisar conteúdo enviado por visitantes em busca de scripts ou atributos onerror/onload.
  • Rodar varredura com Wordfence ou Patchstack e considerar uma Content Security Policy.
CVE-2026-88784 · Fonte: WPScan (via VulDB)Registro completo →
Atualize esta semanaPouco usado no Brasil

Payment Gateway for Telcell

pagamentos via Telcell (Armênia) no WooCommerce

Vulnerável: antes da 2.0.5Seguro: 2.0.5 ou superior

Qualquer pessoa consegue forjar o aviso de pagamento e marcar pedidos como pagos sem pagar, ou marcar pedidos de outros clientes como falhos.

Você mesmo

  • Atualize o plugin para a 2.0.5 ou superior.
  • Configure um segredo de assinatura forte nas opções do gateway.

Seu dev ou hospedagem

  • Cruzar pedidos marcados como pagos no WooCommerce com as transações do painel Telcell.
  • Em qualquer gateway, confirmar que o aviso automático de pagamento (webhook) exige assinatura ou segredo.
CVE-2026-103301 · Fonte: WPScan (via VulDB)Registro completo →