Veja o que aconteceu com os sites em PHP que saíram do ar — e por que quem tem Odoo continuou no ar

Na terça-feira, 21 de outubro de 2026, sites de governo, bancos e empresas em vários países ficaram fora do ar ao mesmo tempo. O motivo não foi um ataque a um site específico: foi uma falha grave no PHP, a linguagem por trás de boa parte da internet — inclusive do WordPress, do Drupal, do Joomla e do Magento.

Os sites da oDox, todos feitos em Odoo, continuaram no ar. Não por sorte: o Odoo não usa PHP. Abaixo, o que aconteceu, por que o Odoo ficou de fora desta e o que vale conferir na sua empresa hoje.

O que aconteceu

• Duas falhas no núcleo do PHP, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de php2shell, permitem que um atacante assuma o controle de um servidor pela internet, sem senha. A nota de gravidade é 9,2 de 10.
• Atingem servidores com PHP 5.4 ou mais novo — na prática, quase tudo o que foi publicado na última década.
• As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Segundo os desenvolvedores do PHP, atualizar é a única saída segura.
• Quem encontrou: a empresa de segurança Calif e a OpenAI, de forma independente, meses antes. A OpenAI coordenou com Wiz e Cloudflare a preparação das correções antes da divulgação.
• O tamanho: a Censys contou cerca de 2,58 milhões de servidores com PHP expostos à internet e 54,9 milhões de sites rodando a linguagem.

Por que tantos sites saíram do ar

Boa parte das quedas foi preventiva. Com informações vazando antes do anúncio oficial e com exploração já sendo vista na prática, administradores preferiram desligar os sites até aplicar a correção. O FBI recomendou exatamente isso para quem não conseguisse atualizar de imediato.

Entre os casos noticiados estão sites do governo da Finlândia e do Canadá e, no Brasil, serviços da Anatel, que ficaram temporariamente inacessíveis.

A Cloudflare ativou regras de proteção no seu firewall de aplicação horas antes da divulgação — o que ajudou muitos sites, mas não substitui a atualização do servidor.

Por que o Odoo não foi afetado

O Odoo é escrito em Python e usa o banco de dados PostgreSQL. Não tem PHP em nenhuma camada. Uma falha no interpretador do PHP simplesmente não tem por onde entrar.

Três detalhes reforçam isso no dia a dia:

1. Site, loja, CRM e ERP na mesma base. No Odoo, o site não é um WordPress separado com dezenas de plugins de terceiros. É um módulo do próprio sistema, mantido pela Odoo.
2. Na hospedagem da própria Odoo (Odoo Online e Odoo.sh), a atualização de segurança é responsabilidade da Odoo, não de uma equipe interna que precisa correr de madrugada.
3. Menos peças, menos portas. Cada sistema a mais — um blog à parte, uma loja em outra plataforma, uma intranet antiga — é mais uma coisa para atualizar quando aparece uma falha como esta.

Os sites da oDox — odoxtecnologia.com.br, odoxacademy.com.br e odoxpay.com.br — rodam em Odoo. No dia 21, o site principal recebeu visitas normalmente, no mesmo ritmo dos dias anteriores segundo o Google Analytics, e os três estavam no ar quando conferimos de novo na manhã de 22/10.

Isso não quer dizer que o Odoo é imune a qualquer falha. Nenhum sistema é. O Odoo também recebe correções de segurança, e a diferença está em quem cuida delas e em quantas peças a empresa precisa manter.

Cuidado: ter Odoo não significa estar livre de PHP

Muitas empresas usam Odoo no ERP e mantêm, ao lado, outros sistemas em PHP sem perceber:

• O blog ou site institucional em WordPress, feito por uma agência anos atrás
• Uma loja virtual em Magento, WooCommerce ou OpenCart
• Intranet, portal do cliente ou formulário antigo hospedado em servidor compartilhado (cPanel)
• Sistemas de terceiros: ponto eletrônico, chamados, catálogo de produtos

Se algum desses estiver no ar com PHP desatualizado, a empresa está exposta — mesmo com o ERP protegido.

O que conferir hoje — checklist do gestor

1. Liste todos os endereços da empresa na internet — site, loja, blog, portais, subdomínios
2. Pergunte a quem cuida de cada um: "roda em PHP? Qual versão? Já foi atualizado?" A resposta precisa vir com a versão, não com "acho que sim"
3. Atualize para uma das versões corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) ou peça ao provedor de hospedagem que confirme a atualização
4. Se não der para atualizar hoje, tire do ar até corrigir — é a recomendação das autoridades
5. Atualize também o WordPress, os plugins e os temas, e peça uma verificação de sinais de invasão: a exploração em massa já começou

A lição que fica

Segundo os pesquisadores, parte dessas falhas existia há mais de uma década. O que mudou foi a velocidade: a inteligência artificial ajudou a encontrar e a explorar o problema muito mais rápido, e a OpenAI espera que descobertas assim aumentem nos próximos meses.

Para o gestor, a conta é simples: quanto menos sistemas soltos a empresa mantém, menos corrida contra o relógio no próximo episódio. É um dos motivos pelos quais concentramos site, loja, CRM e gestão numa base Odoo só.

Quer saber se o seu sistema está exposto e o que dá para levar para dentro do Odoo? Peça um diagnóstico gratuito do seu sistema — o formulário está logo abaixo.

Fontes

• Krebs on Security — Widespread PHP Flaw May Cause Many Site Outages Today
• Tecnoblog — Falha grave no PHP fez sites e serviços públicos saírem do ar
• iMasters — Falha crítica no PHP descoberta com ajuda de IA tira sites de governo do ar
• CBC — Canadian government sites among those offline after flaw identified in widely used computer language