PHP2Shell: o que o backup da hospedagem recupera e o que não recupera

Se o seu site está na hospedagem compartilhada, de revenda ou WordPress da Rollin Host, o backup automático diário permite restaurar arquivos, bancos e e-mail para um ponto anterior à exploração da PHP2Shell. Se o site roda em VPS, cloud, GPU ou servidor dedicado, o backup é responsabilidade do cliente, a menos que o add-on Backup Automático tenha sido contratado.

TL;DR: Atualize o PHP primeiro e só depois restaure um ponto anterior ao ataque. Em seguida, troque senhas e chaves. O backup cobre arquivos, banco e e-mail, mas não cobre caches, sessões PHP nem uploads pendentes.

O que é a PHP2Shell e por que ela pode derrubar um site?

A PHP2Shell é o apelido de duas vulnerabilidades, CVE-2026-109618 e CVE-2026-109619, anunciadas em 21 de outubro de 2026 com nota 9,2 no CVSS v4.0. Segundo a CyberSec Brazil, elas permitem execução remota de código (RCE) sem autenticação. Os pesquisadores também demonstraram leitura de memória dos processos PHP.

O defeito está no mecanismo de execução do PHP, e não em um plugin ou CMS específico. Por isso o aviso oficial fala em "praticamente todas as versões desde o PHP 5.4". O PHP-FPM, o Apache mod_php, o php-cgi e o FrankenPHP estão entre os componentes afetados.

• Com mod_php: uma técnica demonstrada executa código com uma única requisição não autenticada, antes de a aplicação iniciar.
• Com PHP-FPM: uma das falhas é potencialmente explorável, sem cadeia completa demonstrada. A outra teve execução comprovada, mas depende de uma operação feita pela aplicação.
• Exploração ativa: a Cloudflare detectou tentativas antes da publicação dos patches, e a watchTowr confirmou tentativas ativas.

Até a última atualização da matéria, não havia confirmação pública de servidor comprometido.

Resumo: o risco está no runtime, então nenhum site em PHP desatualizado fica de fora. É por isso que a pergunta seguinte é sobre backup.

Como funciona o backup da hospedagem Rollin Host?

A Política de Backup da Rollin Host (v1.1, de 12/10/2026) define a rotina para hospedagem compartilhada, revenda e WordPress:

RPO de 24 h significa que, no pior caso, perde-se até um dia de alterações. Um pedido feito às 17h, por exemplo, pode ter como ponto mais recente o backup da madrugada anterior.

Os 14 pontos dão margem para voltar antes da exploração, mesmo que a invasão só seja percebida dias depois. Esse detalhe pesa, porque um webshell costuma ficar quieto por algum tempo antes de agir.

Com a rotina clara, falta saber como acionar a restauração.

Como pedir a restauração do backup?

A restauração é solicitada por ticket no painel (painel.rollinhost.com.br). O pedido deve informar três coisas:

1. Data e hora-alvo: um ponto anterior ao primeiro sinal de comprometimento.
2. Escopo: arquivo específico, banco específico ou a conta inteira.
3. Destino: sobrescrever o original ou restaurar em local separado para comparação.

Os prazos de referência são de até 4 horas úteis para um arquivo ou banco específico e de até 8 horas úteis para uma conta DirectAdmin completa. Cada conta tem 1 restauração assistida gratuita por mês.

Uma dica de quem atende incidente: restaure primeiro em local separado. Comparar os dois diretórios mostra exatamente o que o atacante alterou.

Precisa restaurar um site agora? Fale com a gente no WhatsApp.

Qual a ordem certa de recuperação depois de uma invasão pela PHP2Shell?

A ordem importa mais do que a velocidade. Restaurar antes de corrigir só devolve ao atacante um site limpo e ainda vulnerável.

1. Atualizar o PHP. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para 7.4, 8.0 e 8.1, o projeto publicou correções de código-fonte nos branches. Na hospedagem, a versão é ajustada no painel DirectAdmin da conta; se a opção não aparecer, chame o suporte.
2. Restaurar um ponto anterior ao ataque, seguindo o fluxo de ticket descrito acima.
3. Trocar senhas e chaves: contas de admin do WordPress, usuário do banco, FTP/SFTP, e-mail e as salts do wp-config.php. Como houve leitura de memória demonstrada, qualquer segredo carregado pelo PHP deve ser tratado como exposto.
4. Revisar o que ficou fora do backup (detalhado na próxima seção).

No VPS, o primeiro passo é conferir a versão instalada e reiniciar os processos depois do upgrade:

php -v
# após atualizar o pacote pela distribuição:
sudo systemctl restart php8.3-fpm   # ajuste para a sua versão

Se o upgrade não puder ser feito imediatamente, o aviso indica mitigações temporárias no php.ini. Elas reduzem alguns caminhos de ataque, mas não protegem por completo:

; CVE-2026-109619
session.upload_progress.enabled = 0
; CVE-2026-109618
memory_limit = -1
post_max_size = [CONFIRMAR: valor reduzido recomendado]

"A atualização é a única medida capaz de corrigir completamente as vulnerabilidades", diz a recomendação oficial.

Resumo: primeiro corrigir, depois restaurar e por último trocar credenciais.

O que o backup da hospedagem não recupera?

A política exclui da cópia os seguintes itens:

• caches;
• sessões PHP;
• filas;
• /tmp;
• logs rotativos;
• uploads pendentes;
• CDN e buckets de terceiros.

Na prática, depois da restauração é preciso limpar o cache do plugin e da CDN. Usuários logados vão precisar entrar de novo. Pedidos ou formulários enviados depois do último ponto de backup precisam ser conferidos na origem, como o gateway de pagamento ou o e-mail de notificação.

Se o site usa bucket externo para mídia, esse bucket segue a política do fornecedor dele. O backup da hospedagem não alcança esse conteúdo.

Snapshot de VPS serve como backup?

Não. O snapshot é útil, mas resolve outro problema. Na Rollin Host, o snapshot de VPS funciona assim:

Como o snapshot fica na mesma infraestrutura do servidor, ele não protege contra falhas que atinjam essa infraestrutura. Também não serve para retenção longa. Um bom uso é tirar um snapshot imediatamente antes de atualizar o PHP, para ter um rollback rápido caso a atualização quebre algo.

Isso vale para qualquer VPS, inclusive para quem roda uma VPS para n8n com workflows e credenciais de API. VPS, cloud, GPU e dedicados não têm backup automático incluso. A frequência, a retenção e o preço do add-on Backup Automático são informados na contratação.

Quem é responsável pelo backup: a hospedagem ou o cliente?

A responsabilidade é compartilhada. A Rollin Host funciona como rede de segurança operacional, com backup diário, isolado e criptografado na hospedagem. O cliente mantém cópias próprias de tudo o que não tolera perda acima de 24 horas.

Para uma loja com dezenas de pedidos por hora, por exemplo, faz sentido manter um dump do banco mais frequente, guardado fora da conta. Para um site institucional, os 14 pontos diários costumam bastar.

Outra forma de reduzir a superfície de ataque é usar um site estático, que não executa PHP no servidor. A Agência Rollin desenvolve sites nesse modelo com Astro.

Principais aprendizados

• A PHP2Shell (CVE-2026-109618 e CVE-2026-109619, CVSS 9,2) permite RCE sem autenticação no runtime do PHP.
• Corrija antes de restaurar: atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
• A hospedagem Rollin Host guarda 14 pontos diários isolados, com RPO de até 24 h.
• Caches, sessões PHP, /tmp e uploads pendentes não entram no backup.
• Em VPS, snapshot não é backup: ele expira em 30 dias e fica na mesma infraestrutura.

Perguntas frequentes

O backup da hospedagem remove o malware da PHP2Shell?

Ele devolve os arquivos a um estado anterior à invasão, desde que o ponto escolhido seja anterior ao ataque. Sem atualizar o PHP antes, o site pode ser comprometido de novo.

Quanto tempo leva uma restauração na Rollin Host?

O prazo de referência é de até 4 horas úteis para um arquivo ou banco específico e de até 8 horas úteis para uma conta DirectAdmin completa.

A restauração é cobrada?

Cada conta de hospedagem tem 1 restauração assistida gratuita por mês. [CONFIRMAR: valor de restaurações adicionais]

Meu VPS tem backup automático?

Não, a menos que o add-on Backup Automático tenha sido contratado. Snapshots ajudam em rollback rápido, mas expiram em 30 dias e não substituem backup.

As mitigações no php.ini bastam?

Não. Segundo o aviso oficial, elas só reduzem alguns caminhos de ataque. A atualização do PHP é a única correção completa.

Precisa restaurar um site agora? Nossa equipe atende 24/7, em português. Fale com a gente no WhatsApp e envie a data aproximada do incidente.

Por: Equipe Rollin Host