Pular para o conteúdo

Raio-X Digital // diagnóstico gratuito em 20 segundos

Seu site está protegido contra a onda de ataques que se iniciou em outubro?

Digite o endereço e receba, em português de gente, o que está aberto, o que está em risco e as três coisas para resolver hoje. Sem instalar nada, sem senha, sem painel.

Só lemos o que já é público. Nada é alterado no seu site. Use no seu próprio endereço ou com autorização de quem é dono.

Nota na hora, sem cadastro Lê só o que é público ~20 segundos

Como funciona

Três passos. Nenhum deles técnico.

O mesmo que um navegador ou um robô de busca enxerga, só que lido com método e explicado em português de gente.

// 01

Você digita o endereço

Só o domínio, como seusite.com.br. Não pedimos senha, acesso ao painel nem instalação de nada.

// 02

O scan lê o que é público

Cadeado, cabeçalhos, DNS, versão do PHP, arquivos abertos, e-mail do domínio e vencimento. Oito módulos em paralelo.

// 03

Você recebe a nota e o laudo

Uma nota de 0 a 10, as três coisas para fazer hoje e, no laudo completo, o que pedir à hospedagem em cada item.

O que o scan lê

Oito portas por onde os problemas entram

mod_01Cadeado e certificadoSe abre com https, se o certificado é válido e se o http redireciona.
mod_02Versão do PHPSe o servidor anuncia uma versão vulnerável à falha PHP2Shell de outubro de 2026.
mod_03WordPress expostoVersão, XML-RPC ligado, lista de usuários e pastas navegáveis.
mod_04Arquivos que não deviam estar públicosArquivo de senhas (.env), código-fonte (.git) e página de configuração (phpinfo).
mod_05E-mail do domínioSPF, DKIM e DMARC: se alguém pode mandar e-mail falso em seu nome.
mod_06Vencimento do domínioQuando o endereço vence. Domínio vencido derruba site e e-mail de uma vez.
mod_07Escudo na frente do siteSe há um serviço como o Cloudflare filtrando ataques antes de chegarem ao servidor.
mod_08Política de privacidadeSe a página inicial aponta para a política de privacidade, como pede a LGPD.

Guia rápido

Como saber se o seu site está seguro, sem ser técnico

O Raio-X Digital é um diagnóstico gratuito do Team Studio que lê, em cerca de 20 segundos, o que um site brasileiro expõe publicamente (cadeado, versão do PHP, arquivos abertos, e-mail do domínio, vencimento e escudo) e devolve uma nota de 0 a 10 com as três correções mais urgentes, escritas em linguagem simples.

O que é a falha PHP2Shell e por que ela mexe com o seu WordPress

Em 21 de outubro de 2026, o projeto PHP publicou correções para duas falhas críticas no próprio interpretador, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell. Elas permitem que alguém execute comandos no servidor sem senha e alcançam toda versão desde a 5.4, lançada em 2012. Como o PHP roda cerca de 7 em cada 10 sites do mundo, inclusive todo WordPress, Joomla, Drupal e Magento, a correção precisa ser feita na hospedagem: atualizar o WordPress, o tema ou os plugins não resolve. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Algumas hospedagens aplicam a correção sem mudar o número da versão, por isso o laudo pede a data de build quando a versão exposta parece antiga.

Os oito sinais que o Raio-X lê, em uma linha cada

Cadeado (HTTPS)
Se a conexão é cifrada, se o certificado é válido e se o endereço sem https redireciona para o seguro.
Versão do PHP
Se o servidor anuncia uma versão vulnerável ou sem suporte.
WordPress exposto
Versão visível, XML-RPC ligado (porta de ataque de senha), lista de usuários pública, pastas navegáveis.
Arquivos expostos
Se o arquivo de senhas (.env), a pasta de código (.git) ou a página de configuração (phpinfo) estão abertos para qualquer um.
E-mail do domínio
SPF, DKIM e DMARC: os três registros que impedem um golpista de mandar e-mail "em seu nome".
Vencimento do domínio
Quantos dias faltam para o endereço vencer. Domínio vencido derruba site e e-mail de uma vez.
Escudo na frente
Se há um serviço como o Cloudflare filtrando ataques automáticos antes de chegarem ao servidor.
Privacidade
Se a página inicial aponta para a política de privacidade, como pede a LGPD.

O que fazer quando a nota é baixa

  1. Comece pelos itens marcados como urgentes. Arquivo de senhas público ou PHP vulnerável vêm antes de qualquer outra coisa.
  2. Mande o texto do laudo para a hospedagem. Cada item traz a frase pronta, com o nome técnico certo, para abrir o chamado.
  3. Atualize o WordPress, os plugins e o tema depois do PHP, com backup feito antes.
  4. Ligue a segunda verificação no e-mail, no painel da hospedagem e no registro do domínio.
  5. Repita o Raio-X para confirmar que cada porta fechou, e depois uma vez por mês.

Sinais de que um site já foi invadido

  • O Google mostra o aviso "site perigoso" ou as campanhas de anúncio são reprovadas de repente.
  • A página redireciona para outro endereço, em geral de farmácia, aposta ou cripto.
  • Aparecem páginas, posts ou usuários administradores que ninguém criou.
  • E-mails do domínio começam a voltar ou a cair no spam dos pacientes e clientes.
  • A hospedagem avisa sobre consumo anormal de processamento ou de envio de e-mail.

Se reconheceu algum desses sinais, o Raio-X mostra por onde a invasão provavelmente entrou. A limpeza em si precisa de acesso ao painel e é uma etapa à parte, que a equipe do Team Studio faz com você.

Por que agora

Outubro de 2026 mudou o tamanho do problema

Em 21 de outubro saiu uma falha no PHP, a linguagem que roda 7 em cada 10 sites do mundo, inclusive todo WordPress. Em um dia, a Cloudflare contou milhões de tentativas de exploração. Governos tiraram sites do ar por precaução.

Na mesma semana ficou claro que agentes de inteligência artificial já invadem sites sozinhos, aos milhares, por poucos dólares cada. O alvo preferido não é o banco. É o site que ninguém atualiza.

Não é para ter medo. É para olhar. O Raio-X existe para você saber, em 20 segundos, se o seu site está nessa lista.

7 em cada 10sites do mundo rodam PHP e foram alcançados pela falha de 21/10/2026.
1.200 sitesatacados por um único operador usando agentes de IA, a cerca de 50 dólares por invasão.
Horas, não semanasé o tempo entre uma falha ficar pública e ser explorada em massa. Quem não atualiza sozinho fica para trás.

Dúvidas comuns

Antes de digitar o endereço

Não. O Raio-X só lê o que qualquer navegador já vê: cabeçalhos, certificado, registros de DNS e meia dúzia de caminhos públicos. Não testamos senhas, não exploramos falhas e não alteramos nada. O nosso robô se identifica e aponta para esta página.

Use no seu próprio site ou com autorização de quem é dono. Cada consulta fica registrada. Endereços de governo e de bancos são recusados automaticamente.

Não. Quer dizer que há portas abertas que facilitam uma invasão. O laudo mostra quais são e o que fazer, em ordem de urgência. Site invadido de verdade costuma dar outros sinais: redirecionamento estranho, aviso do Google, e-mails devolvidos.

Sim. O Raio-X lê qualquer site público. Em plataformas fechadas como Wix e Squarespace, a parte de PHP não se aplica e o laudo foca em cadeado, e-mail do domínio, vencimento e privacidade.

Não. Ele é um diagnóstico de fora para dentro: mostra o que está exposto e o que fazer. Firewall, backup e atualização continuam sendo o trabalho de quem cuida do site.

Depois de cada correção, para confirmar, e pelo menos uma vez por mês. Falhas novas aparecem toda semana e um domínio pode vencer sem aviso.

O laudo fica salvo por um link privado. Nome, e-mail e WhatsApp só são pedidos para liberar o laudo completo e seguem a Política de Privacidade do Team Studio. Sem spam, sem lista vendida.

O laudo vem em linguagem simples, com o texto pronto para mandar à hospedagem. Se preferir que a equipe resolva, é só pedir a sessão de diagnóstico: a gente olha junto e cuida do que precisar.

O que está por dentro do painel (plugins, usuários, backups), as redes sociais, o WhatsApp e as contas de anúncio. Essa é a segunda etapa, feita junto com você, porque precisa de acesso.

Vinte segundos

Ainda não escaneou o seu site?

É gratuito, não instala nada e você vê a nota na hora.

Escanear agora