Vulnerabilidades Críticas no PHP em 2026: Riscos e Como Proteger o Seu Website

1. O que aconteceu com o PHP em outubro de 2026?

O PHP é uma linguagem de programação utilizada por inúmeras aplicações web. Executa operações no servidor, processa formulários, comunica com bases de dados e gera páginas dinâmicas. É também uma tecnologia essencial para grande parte dos websites WordPress e lojas WooCommerce.

Em outubro de 2026, investigadores de segurança e a equipa responsável pelo PHP coordenaram a divulgação de duas falhas graves no seu núcleo. Após a antecipação da divulgação pública, foram disponibilizadas correções de emergência no dia 21 de outubro.

2. O que é o PHP2Shell e porque é considerado crítico?

PHP2Shell é o nome atribuído ao conjunto de duas vulnerabilidades que afetam mecanismos internos de gestão de memória e do estado dos pedidos processados pelo PHP. Ambas receberam a classificação 9,2 em 10 na escala CVSS v4.0, correspondente a gravidade crítica.

Em determinadas configurações, a exploração pode permitir que um atacante execute instruções no servidor sem iniciar sessão. Também foram descritos riscos de exposição de informação presente na memória dos processos.

Uma particularidade relevante é que, em alguns ambientes, o ataque pode ocorrer antes de o código da aplicação começar a executar. Assim, ter o WordPress, o tema e os plugins atualizados continua a ser necessário, mas não substitui a correção do próprio PHP.

3. Quais são as versões PHP afetadas e corrigidas?

As atualizações de segurança publicadas em 21 de outubro corrigem as vulnerabilidades nos ramos ainda abrangidos pelas versões de emergência. Quem administra servidores deve identificar não só a versão apresentada no painel, mas também a origem dos pacotes instalados.

Em ambientes empresariais, fornecedores como distribuições Linux e plataformas de alojamento podem disponibilizar backports de segurança: aplicam a correção a uma versão anterior sem necessariamente alterar o número principal da versão apresentado ao utilizador.

Por isso, ver um número PHP inferior ao indicado na tabela não prova, por si só, que a instalação continua vulnerável. É necessário consultar os avisos de segurança do fornecedor e a versão exata do pacote instalado.

4. WordPress, WooCommerce e outros websites estão em risco?

Sim, aplicações que utilizam PHP podem estar expostas quando são executadas sobre um ambiente afetado e sem correções. Isto inclui potencialmente websites WordPress, lojas WooCommerce, portais empresariais, sistemas de reservas e aplicações personalizadas.

Contudo, é importante distinguir dois níveis de segurança: o da aplicação e o da infraestrutura. Atualizar o WordPress protege contra problemas corrigidos no próprio WordPress, mas não instala automaticamente os patches do motor PHP.

O risco concreto varia consoante o modo de execução PHP e a arquitetura utilizada. As recomendações de segurança abrangem ambientes como Apache com mod_php, PHP-FPM, php-cgi, LiteSpeed e outras integrações.

5. O que devem fazer os administradores de websites?

A prioridade deve ser confirmar se o ambiente PHP já recebeu as correções. Em alojamento partilhado, esta verificação é normalmente da responsabilidade do fornecedor; em VPS ou servidores dedicados não geridos, poderá caber ao administrador do sistema.

1. Identificar a versão PHP e o fornecedor: consultar o painel de alojamento e, quando necessário, os pacotes instalados no servidor.
2. Confirmar os patches: verificar o aviso de segurança oficial do fornecedor, incluindo eventuais backports.
3. Atualizar o PHP quando necessário: planear e executar a atualização adequada, com testes de compatibilidade.
4. Atualizar as aplicações: manter WordPress, WooCommerce, temas e plugins em versões suportadas.
5. Rever registos e alertas: investigar erros anormais, processos inesperados, ficheiros desconhecidos e atividade suspeita.
6. Validar cópias de segurança: confirmar que existem backups recuperáveis e separados do ambiente de produção.
7. Solicitar apoio técnico: pedir ao fornecedor confirmação sobre o estado da correção, se não tiver acesso a essa informação.

6. CloudLinux, cPanel e atualizações por backport

Em infraestruturas de alojamento que utilizam CloudLinux, cPanel ou sistemas de gestão de múltiplas versões PHP, a correção pode ser distribuída através de pacotes próprios do fornecedor. É essencial distinguir a versão visível ao cliente da versão efetivamente corrigida.

Um backport consiste em adaptar uma correção de segurança para um ramo anterior do software. Esta abordagem é comum em sistemas com suporte prolongado, nos quais a estabilidade e a compatibilidade das aplicações também são importantes.

Para verificar a proteção, a equipa técnica deve consultar os avisos e registos de atualização do fornecedor, confirmar os pacotes instalados e validar quais os processos PHP realmente utilizados pelos websites.

Ferramentas de proteção como firewalls de aplicações web e sistemas antimalware podem ajudar a reduzir o risco e a identificar atividade suspeita. Não devem, contudo, ser tratadas como substitutos de uma atualização de segurança.

7. Como reconhecer sinais de uma possível exploração?

Nem todas as tentativas de ataque deixam sinais fáceis de interpretar. Ainda assim, a análise dos registos de servidor e da integridade dos ficheiros pode revelar comportamentos que merecem investigação.

• Erros PHP de memória repetidos ou falhas inesperadas de processos.
• Padrões anormais de pedidos HTTP, especialmente pedidos POST invulgares.
• Novos ficheiros PHP ou alterações inesperadas em diretórios do website.
• Processos, tarefas agendadas ou contas administrativas desconhecidas.
• Comunicações de saída não habituais ou alertas de ferramentas de segurança.

Estes sinais não confirmam isoladamente uma intrusão. Devem ser analisados em conjunto, preservando os registos relevantes. Se houver suspeita fundamentada, recomenda-se restringir o acesso ao ambiente afetado e envolver profissionais de resposta a incidentes.

8. Segurança na OneSoft: acompanhamento e responsabilidade

Na OneSoft, consideramos a segurança uma componente essencial de qualquer presença digital profissional. A divulgação de vulnerabilidades no PHP reforça a importância de manter a infraestrutura e as aplicações acompanhadas ao longo do tempo.

Este artigo tem como objetivo informar clientes, empresas e administradores sobre os riscos identificados e as medidas recomendadas pelas entidades de segurança.

Para além das atualizações do servidor, a manutenção regular das aplicações é indispensável. O serviço OneSoft SiteCare destina-se a apoiar necessidades de manutenção e acompanhamento de websites, de acordo com as condições contratadas.

10. Conclusão: atualizar o PHP é uma prioridade de segurança

O alerta PHP2Shell demonstra que a segurança de um website depende de várias camadas. Mesmo uma aplicação bem desenvolvida pode estar exposta se o ambiente que a executa apresentar vulnerabilidades críticas sem correção.

A resposta adequada combina identificação dos sistemas afetados, atualização dos componentes, monitorização e preparação para recuperação. Para empresas e proprietários de websites, o primeiro passo é confirmar com o fornecedor de alojamento o estado do PHP utilizado.

A OneSoft continuará a acompanhar a evolução das recomendações técnicas e a divulgar informação útil para uma presença digital mais segura.

Fontes e referências técnicas

As informações técnicas foram consultadas em 22 de outubro de 2026. Recomendações e avisos podem ser atualizados pelos respetivos autores.

• PHP — aviso de segurança CVE-2026-109619
• University of Toronto — resumo técnico e recomendações
• Canadian Centre for Cyber Security — alerta AL26-026
• NCSC dos Países Baixos — informação operacional PHP2Shell
• Ubuntu — correções de segurança PHP2Shell