Uma falha crítica no PHP coloca websites e sistemas web em risco. A 21 de outubro de 2026, a equipa responsável por esta linguagem de programação lançou atualizações de emergência para corrigir duas vulnerabilidades críticas. Estas falhas podem permitir que um atacante execute código remotamente, sem precisar de autenticação.
Perante este cenário, o Centro Nacional de Cibersegurança (CNCS) alertou para a importância de proteger as infraestruturas digitais e manter os sistemas atualizados.
Neste artigo, explicamos o que aconteceu, porque importa e que medidas as empresas devem adotar para reduzir a exposição a ataques.
Falha crítica no PHP: o que aconteceu?
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, são conhecidas em conjunto como PHP2Shell.
De acordo com o CNCS, ambas estão relacionadas com corrupção de memória no núcleo do PHP e apresentam uma classificação de 9,2 em 10 na escala CVSS v4.0, correspondente ao nível crítico.
O PHP é uma linguagem de programação utilizada em milhões de sites e aplicações web, incluindo plataformas de gestão de conteúdos como WordPress, Joomla e Drupal.
Segundo a BleepingComputer, as falhas foram identificadas por investigadores da Calif, da Wiz e da OpenAI. Uma das vulnerabilidades pode permitir a execução de código com os privilégios do servidor web, enquanto a outra pode possibilitar o acesso a memória já libertada e a execução de código.
A descoberta destas vulnerabilidades demonstra também a evolução das ferramentas utilizadas na investigação de segurança, incluindo soluções de inteligência artificial capazes de apoiar a identificação de falhas complexas.
Porque é que estas vulnerabilidades são tão graves?
1. Não exigem autenticação
Um atacante pode tentar explorar estas vulnerabilidades sem credenciais válidas. Consequentemente, os sistemas vulneráveis ficam expostos a tentativas de ataque sem que o atacante precise de iniciar sessão.
2. Afetam o próprio PHP
O problema reside no núcleo do PHP. Por isso, atualizar apenas o WordPress, os temas ou os plugins não resolve a vulnerabilidade. As empresas também precisam de verificar e atualizar a versão do PHP instalada no servidor.
3. Abrangem diferentes configurações de servidores web
Segundo a BleepingComputer, as falhas podem afetar várias configurações que processam pedidos web, incluindo PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.
Desta forma, as organizações devem avaliar todas as instalações de PHP, em vez de verificarem apenas os websites mais visíveis.
4. Algumas versões já não recebem suporte oficial
O alerta indica como versões corrigidas a PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Por outro lado, o projeto PHP já não disponibiliza atualizações para a versão 8.1 e anteriores.
Nestes casos, as empresas devem avaliar a migração para uma versão suportada e compatível com os seus sistemas.
Em suma, as correções oficiais constituem a principal medida de proteção. Embora as mitigações temporárias possam reduzir alguns riscos, não garantem a eliminação completa das vulnerabilidades.
Qual é o impacto nas empresas portuguesas?
O CNCS emitiu recomendações para as organizações portuguesas, destacando a necessidade de identificar os sistemas afetados e aplicar as atualizações de segurança.
Embora ainda não exista um levantamento oficial que determine a dimensão total da exposição em Portugal, os dados divulgados por diferentes entidades ajudam a perceber a importância do problema.
Por exemplo, o 24 Notícias (SAPO) refere que a associação CpC — Cidadãos pela Cibersegurança identificou, através de uma pesquisa passiva no Shodan, pelo menos 23 websites de câmaras municipais e sete do domínio gov.pt a utilizar PHP.
A própria associação admite que o número poderá ser muito superior. Contudo, importa salientar que estes valores representam uma estimativa da entidade, não um levantamento oficial.
A HeraPrime, nossa associada e empresa especializada em cibersegurança, contribuiu para a compreensão deste cenário através de uma análise à exposição dos websites de PME portuguesas.
Segundo os dados divulgados pela PME Magazine, a empresa analisou 1.857 websites e identificou os seguintes resultados:
- 360 websites (19%) anunciavam publicamente uma versão do PHP anterior à corrigida;
- 553 websites (30%) não permitiam confirmar remotamente o respetivo estado de atualização.
Em conjunto, estes dois grupos representam cerca de 49% dos websites analisados. Assim, quase metade necessita de correção ou de uma verificação adicional para esclarecer o respetivo estado de segurança.
No entanto, a análise remota não permite confirmar, por si só, que cada website apresenta uma vulnerabilidade explorável.
Ainda assim, os resultados da HeraPrime reforçam uma mensagem importante: as empresas devem avaliar regularmente as suas infraestruturas digitais, identificar componentes desatualizados e aplicar as atualizações críticas sem demora.
O que devem fazer as empresas para proteger os seus sistemas?
Perante este cenário, as organizações devem adotar medidas concretas para identificar vulnerabilidades e reduzir o risco de exploração.
1. Identificar todas as instalações de PHP
Comece por inventariar os servidores, websites, aplicações e restantes componentes que utilizam PHP. Inclua também os sistemas geridos por fornecedores externos, os painéis de controlo e as plataformas de gestão de conteúdos.
Desta forma, conseguirá identificar instalações que poderiam passar despercebidas numa verificação superficial.
2. Atualizar para uma versão corrigida
Verifique a versão instalada e aplique a atualização oficial correspondente. Se um fornecedor externo gerir o alojamento, solicite a confirmação de que atualizou o PHP do servidor.
Além disso, registe as atualizações realizadas para facilitar futuras verificações de segurança.
3. Dar prioridade aos sistemas sem suporte
As instalações com PHP 8.1 ou versões anteriores exigem atenção especial, uma vez que o projeto já não disponibiliza atualizações para essas versões.
Por isso, planeie a migração para uma versão suportada, tendo em conta a compatibilidade das aplicações e a continuidade do serviço.
4. Monitorizar atividades suspeitas
Acompanhe os registos dos servidores e procure processos anómalos associados ao PHP e ao servidor web. Por exemplo, o arranque inesperado de shells, interpretadores ou ferramentas de transferência de ficheiros pode indicar uma tentativa de exploração.
Caso identifique sinais suspeitos, investigue-os imediatamente e siga os procedimentos de resposta a incidentes da organização.
5. Não depender apenas de medidas temporárias
As medidas de mitigação podem ajudar a reduzir a exposição enquanto a atualização não é possível. No entanto, não substituem a aplicação das correções oficiais.
Por fim, acompanhe as orientações do CNCS e dos fornecedores tecnológicos para garantir que as medidas adotadas respondem aos riscos identificados.
Cibersegurança: prevenir é proteger a continuidade do negócio
A falha crítica no PHP demonstra como uma vulnerabilidade numa tecnologia amplamente utilizada pode criar riscos para empresas de diferentes dimensões e setores.
Para as PME, a segurança digital começa com o conhecimento dos sistemas utilizados, a definição clara de responsabilidades e a manutenção regular das infraestruturas tecnológicas.
Por isso, mantenha o software atualizado, identifique os componentes sem suporte e acompanhe os alertas de segurança. Estas medidas ajudam a reduzir a exposição a ciberataques e a proteger a continuidade do negócio.
Fontes:
- CNCS — Alerta de Vulnerabilidade – PHP
- 24 Notícias (SAPO) — Falha no PHP: sites em risco e o que se deve fazer?
- PME Magazine (SAPO) — Versões desatualizadas do PHP identificadas em 360 sites de PME portuguesas
- BleepingComputer — PHP ships emergency patches for critical PHP2Shell flaws
