PHP2Shell: as falhas críticas no PHP e o que fazer se o seu site usa PHP

O que aconteceu

Na quarta-feira, 21 de outubro de 2026, a equipa do PHP publicou atualizações de emergência para duas falhas graves na linguagem que corre a maior parte dos sites do mundo. Segundo a W3Techs, o PHP está presente em cerca de 75% dos sites cuja tecnologia é identificável, e é a base do WordPress, do Drupal, do Joomla e do Magento.

As duas falhas estão no tratamento de erros internos do PHP. Segundo a análise da Unit 42 (Palo Alto Networks), uma delas deixa memória por inicializar quando o servidor fica sem memória, e a outra deixa referências a memória já libertada depois de um erro fatal. Em ambos os casos, um pedido bem preparado pode levar o servidor a executar código do atacante sem qualquer autenticação, com as permissões do próprio PHP. Em algumas configurações, o ataque acontece antes de o código do site sequer começar a correr.

A empresa de segurança Wiz indicou que as falhas foram encontradas com ferramentas de inteligência artificial e que estavam no código do PHP há mais de uma década. A presidente interina da Drupal Association resumiu a dimensão do problema ao afirmar que todos os servidores com versões do PHP lançadas nos últimos 20 anos seriam vulneráveis.

Porque é que tantos sites foram desligados

Com a correção publicada, qualquer atacante pode estudá-la e perceber onde está a falha. Por isso, várias agências de cibersegurança aconselharam a atualizar de imediato ou, quando isso não for possível, a tirar o site do ar até estar corrigido.

• Nos Países Baixos, o próprio Centro Nacional de Cibersegurança desligou o seu site, e seguiram-se o Porto de Roterdão, o portal Overheid.nl e vários hospitais.
• Em França, o Ministério do Interior colocou todos os seus sites em manutenção preventiva.
• Na Bélgica saíram do ar a plataforma escolar Smartschool, sites de grupos de media e de um hospital em Antuérpia.
• No Canadá, o governo federal desligou alguns sites por recomendação do seu centro de cibersegurança.
• No Japão, a primeira-ministra pediu publicamente aos responsáveis por sites que verifiquem se usam PHP e apliquem a correção, e o centro nacional de cibersegurança pediu a suspensão temporária dos serviços que não possam ser atualizados.

A Cloudflare reportou os primeiros ataques reais pouco depois da publicação e lembrou que as regras de firewall são apenas uma proteção temporária. A Unit 42 contou mais de 22 milhões de instalações expostas na internet.

O meu site está em risco?

Se o seu site usa PHP e o servidor ainda não foi atualizado, sim. Na prática, isto inclui:

• Sites em WordPress, que são a maioria dos sites de pequenas empresas em Portugal.
• Lojas online em WooCommerce, PrestaShop ou Magento.
• Sites em Joomla, Drupal ou feitos à medida em PHP, incluindo áreas de cliente e formulários antigos.

Os mais expostos são os sites em alojamento partilhado barato, onde a atualização depende do fornecedor, e os sites que ninguém mantém há meses. Um site parado num PHP 7.4 ou 8.0 nunca vai receber esta correção.

Sites feitos em plataformas fechadas, como Wix, Shopify ou Squarespace, e sites estáticos sem PHP no servidor não estão expostos a estas falhas.

O que fazer hoje, passo a passo

1. Confirme a versão do PHP. Veja no painel do alojamento (cPanel, Plesk ou equivalente) ou, no WordPress, em Ferramentas > Saúde do site > Informação > Servidor. Explicamos os vários métodos neste guia.
2. Atualize para uma versão corrigida. As versões seguras são 8.5.12, 8.4.27, 8.3.36 e 8.2.35, ou superiores dentro do mesmo ramo.
3. Se não consegue mudar sozinho, peça ao alojamento. Pergunte por escrito se a correção já está instalada, e não apenas agendada.
4. Se está no PHP 8.1 ou anterior, não há correção para a sua versão. É preciso mudar para o 8.2 ou superior e testar o site, porque plugins antigos podem deixar de funcionar.
5. Se não consegue atualizar já, ponha o site em manutenção. É o que as autoridades recomendam: um site desligado durante umas horas custa menos do que um site comprometido.
6. Procure sinais de ataque. Utilizadores administradores que não conhece, ficheiros novos na pasta do site, redirecionamentos para outras páginas ou avisos do Google. Se encontrar algo, mude as palavras-passe do alojamento, da base de dados e do painel do site.
7. Confirme que tem cópias de segurança guardadas fora do servidor e que sabe restaurá-las.

Atenção: atualizar o WordPress ou os plugins não atualiza o PHP. São camadas diferentes, e esta falha está na camada do servidor.

Versões do PHP e estado de segurança

Depois da correção: o que muda para uma pequena empresa

O PHP2Shell vai ser corrigido em poucos dias na maioria dos alojamentos sérios. O problema de fundo continua: muitos sites de pequenas empresas não têm ninguém responsável pela manutenção. O PHP fica anos sem ser atualizado, os plugins acumulam falhas conhecidas e ninguém repara até o Google mostrar um aviso ou os clientes receberem emails estranhos.

Se o site recolhe dados de clientes, um ataque pode ainda obrigar a comunicar a violação de dados à CNPD no prazo de 72 horas, como prevê o RGPD. Explicamos os riscos de um site parado neste artigo sobre WordPress desatualizado.

Como a Nexo Solutions pode ajudar

Pode começar pela verificação rápida gratuita, que lê o que o servidor do seu site mostra para fora e indica se a versão de PHP visível está corrigida. Para uma resposta completa, a verificação de segurança de 75 € confirma por dentro a versão do PHP, plugins, tema, acessos, cópias de segurança e sinais de ataque, e entrega um relatório com o que corrigir primeiro.

Perguntas frequentes

Fontes

• Malwarebytes: PHP2Shell, why websites are going offline for emergency security updates (21/10/2026)
• Unit 42 (Palo Alto Networks): Threat Brief, CVE-2026-109618 e CVE-2026-109619
• RTÉ: Websites go dark as AI exposes critical security flaws (21/10/2026)
• KrebsOnSecurity: Widespread PHP flaw may cause many site outages today
• CNBC: Government websites go dark as software flaw sparks security scramble
• CNN Portugal: Japão emite alerta urgente devido a vulnerabilidades no PHP
• W3Techs: Usage statistics of server-side programming languages
• RGPD, artigo 33.º: notificação de uma violação de dados pessoais à autoridade de controlo