No dia 20 de outubro de 2026, a equipa do PHP anunciou duas vulnerabilidades críticas que ficaram conhecidas como PHP2Shell. As correções foram publicadas no dia seguinte. O PHP é a linguagem em que funciona a maioria dos websites, incluindo os feitos em WordPress, Joomla e Drupal, e está também presente em painéis de alojamento como o Plesk e o cPanel. Por isso, este é um alerta que diz respeito a quase todas as empresas com presença na internet.
Explicamos o que está em causa, quem deve preocupar-se e o que fazer já.
O que é o PHP2Shell
PHP2Shell é o nome dado a duas falhas no próprio PHP, registadas como CVE-2026-109618 e CVE-2026-109619. Ambas receberam uma classificação de gravidade de 9,2 em 10 na escala CVSS 4.0.
Em termos simples, as falhas permitem que um atacante, sem qualquer palavra-passe e sem interação de ninguém na empresa, consiga executar comandos no servidor onde o website está alojado. Os investigadores demonstraram também a possibilidade de ler partes da memória do servidor, onde podem estar senhas, chaves de acesso e outros dados sensíveis.
Quem controla o servidor pode alterar o website, instalar uma porta das traseiras para voltar mais tarde, roubar dados de clientes ou usar o servidor para atacar terceiros.
Porque é que o alerta é sério
- Afeta versões muito antigas. O problema existe desde o PHP 5.4, lançado em 2012, até à versão mais recente, a 8.5.
- Já há tentativas de ataque. Empresas como a Cloudflare e a Amazon registaram tráfego malicioso dirigido a estas falhas, em alguns casos antes da divulgação oficial, e circulam publicamente provas de conceito.
- Muitos servidores usam versões sem suporte. As versões 7.4, 8.0 e 8.1 já não recebem atualizações oficiais em formato pronto a instalar, e continuam muito usadas.
- As autoridades reagiram. Vários organismos públicos europeus desligaram os seus websites por precaução até aplicarem a correção.
A minha empresa está afetada?
Se a empresa tem um website, uma loja online, uma área de cliente ou uma aplicação interna feita em PHP, a resposta mais provável é sim, até prova em contrário. Isto inclui:
- Websites e lojas em WordPress, WooCommerce, Joomla, Drupal ou PrestaShop.
- Aplicações à medida desenvolvidas em PHP ou em frameworks como o Laravel.
- Servidores geridos através de Plesk ou cPanel.
- Equipamentos e software que trazem o PHP incluído, por vezes sem que a empresa saiba.
O facto de o website ser pequeno ou pouco visitado não reduz o risco. Estes ataques são automáticos e percorrem a internet à procura de qualquer servidor vulnerável.
O que fazer já
- Confirmar a versão do PHP de cada website e aplicação. As versões corrigidas são a 8.5.12, a 8.4.27, a 8.3.36 e a 8.2.35, ou superiores. Em servidores Linux, os pacotes da distribuição podem trazer a correção com outro número de versão, pelo que deve consultar o aviso de segurança do fornecedor.
- Atualizar e reiniciar o serviço PHP. Instalar a atualização não basta se os processos antigos continuarem a correr.
- Tratar das versões antigas. Um website em PHP 7.4, 8.0 ou 8.1 deve ser migrado para uma versão suportada. Se isso não for possível de imediato, convém pedir ao alojamento uma versão com a correção aplicada ou retirar temporariamente o serviço do ar.
- Falar com o fornecedor de alojamento. Em alojamento partilhado, a atualização depende dele. Peça confirmação por escrito de que os servidores já estão corrigidos.
- Procurar sinais de intrusão. Ficheiros novos ou alterados na pasta do website, utilizadores administradores desconhecidos, tarefas agendadas estranhas ou envio anormal de email são indícios a investigar.
Existem medidas temporárias de configuração e regras de firewall que reduzem o risco, mas os próprios responsáveis do PHP são claros: a única solução completa é atualizar.
E se o servidor já tiver sido comprometido?
Atualizar o PHP fecha a porta, mas não remove quem já entrou. Se houver suspeita de intrusão, o servidor deve ser isolado, os registos preservados e o website analisado à procura de ficheiros maliciosos antes de voltar ao ar. Todas as senhas e chaves de acesso guardadas no servidor, incluindo as da base de dados e de serviços de email, devem ser alteradas.
Dependendo dos dados envolvidos, uma intrusão pode também implicar obrigações de notificação ao abrigo do RGPD.
O que este caso ensina
O PHP2Shell não será a última falha crítica numa tecnologia usada por todos. As empresas que respondem melhor são as que sabem que sistemas têm, que versões usam e quem é responsável por os atualizar. Um inventário simples e uma rotina de atualizações transformam um alerta como este num trabalho de algumas horas, em vez de uma corrida contra o tempo.
Se não tem a certeza de que os websites e servidores da sua empresa estão protegidos, a Ferdav verifica as versões em uso, aplica as correções e procura sinais de intrusão. Peça um diagnóstico gratuito ou saiba mais sobre a cibersegurança gerida.