Repositório: https://github.com/openai/php2shell-checker Aviso oficial do PHP: https://www.php.net/archive/2026.php#2026-10-21-5
ANTES: instala o Node.js versão 20 ou mais nova (nodejs.org).
01Checar o seu site (cola no terminal, uma linha por vez)
git clone https://github.com/openai/php2shell-checker
cd php2shell-checker node phpcheck.js "https://seusite.com.br"
Sem git: no repositório, clica em Code > Download ZIP, descompacta, abre o terminal dentro da pasta e roda só a última linha.
02O que cada resultado significa
OK: a versão que o servidor anuncia já é uma das corrigidas (8.2.35, 8.3.36, 8.4.27, 8.5.12 ou mais nova do mesmo ramo). Isso não prova que o servidor está corrigido; confirma com a hospedagem.
03Potentially vulnerable (potencialmente vulnerável): a versão anunciada está na faixa das falhas. php 8.1 e anteriores sempre caem aqui. pede a atualização hoje.
04Unknown (desconhecido): o servidor esconde a versão ou a checagem falhou. isso não quer dizer que está tudo bem; pergunta para a hospedagem qual versão roda.
05Mensagem pronta para a hospedagem ou o programador
"Oi, tudo bem? No dia 21/10 o PHP publicou correção para duas falhas críticas de execução remota de código (CVE-2026-109618 e CVE-2026-109619). O aviso oficial está em https://www.php.net/archive/2026.php#2026-10-21-5. Pode me confirmar qual versão do PHP roda no meu site [endereço do site] e atualizar para a versão corrigida do mesmo ramo (8.2.35, 8.3.36, 8.4.27 ou 8.5.12)? Se ainda estiver no PHP 8.1 ou anterior, quero planejar a mudança para uma versão com suporte. Me avisa quando terminar, por favor."
Se você usa o Codex, dá para instalar como skill: $skill-installer install both skills from https://github.com/openai/php2shell-checker e depois pedir: $phpcheck-url check https://seusite.com.br
A ferramenta é gratuita e de código aberto (licença Apache 2.0). Ela só lê o cabeçalho que o servidor responde e não manda nenhum ataque de teste.