Falha crítica no PHP: o que é e como proteger o seu site

Pense numa loja online de decoração que foi criada há alguns anos por uma agência, que desde então vende de forma regular e que o dono nunca teve motivos para voltar a olhar por dentro, porque o site abre depressa, as encomendas chegam e os anúncios continuam a trazer visitas. É precisamente este tipo de negócio, que confia no que funciona e não costuma pensar na tecnologia que está por baixo, que mais deve prestar atenção ao que aconteceu em outubro de 2026, quando foi tornada pública uma falha grave numa peça de software instalada em milhões de servidores, o PHP.

Este artigo explica, sem jargão desnecessário, o que é o PHP, porque é que tantos sites dependem dele, o que se passou e o que pode fazer para proteger o seu site, e deixa claro que, na maioria dos casos, a solução é simples e rápida quando se sabe por onde começar.

O que é o PHP e porque é que tantos sites dependem dele

O PHP é uma linguagem de programação que funciona do lado do servidor, ou seja, no computador onde o site está alojado, e é ela que faz a ponte entre aquilo que o visitante pede e aquilo que lhe é mostrado. Quando alguém abre a página de um produto, o PHP vai buscar o preço e as fotografias à base de dados, monta a página e envia-a para o ecrã de quem a pediu, tudo numa fração de segundo e sem que ninguém repare no trabalho que foi feito.

Está em tantos sítios por razões sobretudo históricas e práticas: existe há muitas décadas, é gratuito, é suportado por praticamente todos os serviços de alojamento e é a base de plataformas muito populares, como o WordPress, o WooCommerce e o Magento, que alimentam uma parte enorme dos sites e das lojas online que visitamos todos os dias. Isto significa que, mesmo quem nunca ouviu falar de PHP, muito provavelmente tem um site, uma loja ou um blogue que depende dele.

O que aconteceu: a falha crítica do PHP de outubro de 2026

A 21 de outubro de 2026, o projeto PHP publicou correções para duas vulnerabilidades classificadas como críticas, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas como "php2shell", ambas com a pontuação de 9,2 em 10. Em linguagem simples, estas falhas permitem que alguém de fora faça o servidor executar instruções que não são suas, sem precisar de qualquer password, o que equivale a deixar uma cópia das chaves da casa ao alcance de quem souber procurá-las.

O que tornou a situação mais delicada foi o facto de os detalhes se terem tornado conhecidos antes da data prevista e de vários fornecedores de alojamento terem reportado tentativas de exploração ativas, o que reduziu muito o tempo que as empresas tinham para reagir. A correção está nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP, e todas as anteriores ficam vulneráveis, incluindo as mais antigas, que já deixaram de receber atualizações de segurança.

A 23 de outubro foi ainda divulgada uma terceira vulnerabilidade, CVE-2026-115560, cuja correção definitiva só chegará na próxima versão regular do PHP, e para a qual existe entretanto uma proteção provisória simples, que explicamos mais abaixo. Como a situação continua a evoluir, vale a pena voltar a este artigo daqui a algumas semanas.

Que riscos corre um site com PHP desatualizado

Deixar as coisas como estão não significa que algo corra mal amanhã, mas significa assumir um risco que cresce com o tempo, porque quando uma falha destas é publicada passam a existir programas automáticos que percorrem a internet à procura de servidores por corrigir, sem qualquer interesse em saber se o site pertence a uma multinacional ou a uma pequena empresa familiar. Quando um servidor é comprometido, as consequências costumam ser estas:

• Roubo de dados, desde os contactos de clientes e pedidos de orçamento até aos dados de encomendas, o que pode obrigar a empresa a comunicar a violação à CNPD no prazo de 72 horas, nos termos do RGPD.
• Páginas falsas e links escondidos colocados no seu site para vender produtos ilegais ou enganar visitantes, o que leva o Google a mostrar avisos de segurança e a retirar o site dos resultados de pesquisa, com impacto direto no tráfego e nos anúncios.
• Envio de spam a partir do seu servidor, que faz o domínio entrar em listas negras e os emails da empresa cair na caixa de spam dos clientes.
• Site desligado ou lento, com perda de vendas durante o tempo necessário para limpar e restaurar tudo, que pode ser de vários dias.
• Perda de confiança, a consequência mais difícil de medir e a mais demorada a recuperar, porque um cliente que vê um aviso de "site perigoso" raramente volta a tentar.

Um site é hoje uma das principais ferramentas de captação de clientes de qualquer empresa, como explicámos em a importância dos anúncios online na captação de novos clientes, e um site comprometido faz desperdiçar todo o investimento feito para levar pessoas até ele.

Como saber se o seu site está afetado

A primeira pergunta a fazer é quem gere o PHP do seu site, porque a resposta muda por completo o que tem de ser feito. Se o site está num plano de alojamento partilhado ou num serviço de WordPress gerido, quem atualiza o PHP é, em regra, o fornecedor, e vários grandes fornecedores já anunciaram que aplicaram a correção nos seus servidores. Se, pelo contrário, está num servidor virtual (VPS) ou num servidor dedicado, o PHP é responsabilidade de quem administra a máquina, e as atualizações não acontecem sozinhas.

Para descobrir a versão em uso, existem três caminhos simples:

1. No WordPress, em Ferramentas, depois em Saúde do Site e no separador Informações, abra a secção Servidor, onde aparece a versão do PHP.
2. No painel do alojamento (cPanel, Plesk, hPanel ou outro), procure uma opção chamada "PHP", "Versão do PHP" ou "Configuração do PHP".
3. Pergunte diretamente ao fornecedor, que sabe responder em poucos minutos se a correção já foi aplicada ao seu plano.

Em alojamentos geridos, a correção pode vir incluída na versão que já utiliza, pelo que o número da versão pode não mudar, e nesses casos o que deve confirmar é a data de compilação (a "build date" das informações do PHP), que deve ser posterior a 21 de outubro de 2026, ou então pedir essa confirmação ao fornecedor.

O que fazer para proteger o seu site

Na maioria dos casos, o caminho depende do tipo de alojamento e resume-se ao seguinte.

Se o site está em alojamento partilhado ou gerido, normalmente não precisa de fazer nada além de confirmar com o fornecedor que a correção foi aplicada e, se o site usar uma versão antiga do PHP (8.1 ou anterior), aproveitar para passar para uma versão suportada, de preferência a 8.3 ou mais recente, depois de confirmar que o tema e os plugins são compatíveis.

Se o site está num servidor próprio (VPS ou dedicado), o processo recomendado tem cinco passos:

1. Criar um backup ou snapshot antes de mexer em qualquer coisa, para poder voltar atrás se algo correr mal.
2. Atualizar o PHP para uma das versões corrigidas, através do gestor de pacotes do sistema ou do painel de controlo.
3. Reiniciar o PHP-FPM, o Apache ou o servidor web, passo que muitas vezes é esquecido e sem o qual o código antigo continua a correr em memória, como se nada tivesse sido feito.
4. Confirmar a versão em uso, na linha de comandos e numa página de informações servida pelo próprio site, porque podem coexistir várias versões instaladas na mesma máquina.
5. Aplicar a proteção provisória contra a terceira falha, desativando a opção session.upload_progress.enabled no ficheiro de configuração do PHP (ou na configuração do pool do PHP-FPM) e reiniciando os processos, tendo em conta que alterar esta definição dentro do código do site não resolve.

Se não puder atualizar de imediato, existem medidas que reduzem a exposição, como limitar o tamanho dos pedidos e dos uploads e restringir o acesso aos painéis de administração a endereços conhecidos, mas só a atualização resolve de facto o problema, e as restantes medidas servem apenas para ganhar tempo.

Foi este o procedimento que seguimos nos servidores que gerimos, e ficou concluído no próprio dia, o que mostra que, com um método claro, não é preciso ser um grande projeto.

Boas práticas para não ser apanhado desprevenido

Esta falha vai passar, mas outras virão, e as empresas que lidam melhor com estes momentos são as que têm algumas rotinas simples já instaladas:

• Manter o PHP, o WordPress, o tema e os plugins atualizados, tendo em conta que atualizar o WordPress não corrige uma falha do PHP, porque são camadas diferentes.
• Remover as versões de PHP e os plugins que já não usa, porque tudo o que está instalado e esquecido é uma porta que continua aberta.
• Ter backups automáticos e testados, guardados fora do servidor onde o site corre.
• Usar uma firewall de aplicações web e limitar o acesso às áreas de administração.
• Estar atento a sinais de comprometimento, como ficheiros desconhecidos nas pastas do site, novos utilizadores administradores, tarefas agendadas que não reconhece, picos de tráfego sem explicação ou visitantes redirecionados para outros endereços.
• Planear a mudança de versão antes do fim do suporte, porque o PHP 8.2 deixa de receber correções de segurança a 31 de dezembro de 2026.

Perguntas frequentes

Atualizar o WordPress resolve esta falha?

Não. A falha está no próprio PHP e não no WordPress, nem nos temas ou plugins, pelo que só a atualização do PHP, feita por si ou pelo seu fornecedor de alojamento, a corrige.

O meu site está num alojamento partilhado, tenho de fazer alguma coisa?

Em regra não, porque é o fornecedor que gere o PHP, mas vale a pena confirmar por escrito que a correção foi aplicada e verificar que o site não usa uma versão muito antiga, como a 7.x, a 8.0 ou a 8.1, que já não recebem correções do projeto.

Como sei se o meu site já foi atacado?

Os sinais mais comuns são alterações que não fez, avisos de segurança do Google ou do navegador, quebras súbitas de tráfego, emails da empresa a cair no spam e páginas desconhecidas a aparecer nos resultados de pesquisa. Se tem dúvidas, o ideal é pedir uma verificação a quem trata do seu site.

Qual é a versão de PHP mais segura?

Qualquer uma das versões corrigidas (8.5.12, 8.4.27, 8.3.36 ou 8.2.35), sendo preferível uma das mais recentes, porque terão suporte durante mais tempo.

Precisa de ajuda com o seu site?

Se prefere não lidar sozinho com estes assuntos, pode contar connosco. Na Weblucro tratamos da presença online das empresas de ponta a ponta, e isso inclui verificar a versão de PHP do seu site, confirmar se o seu alojamento já aplicou a correção e, se for necessário, tratar da atualização ou da migração para um ambiente mais seguro, seguindo o nosso método de trabalho, que começa sempre por perceber o que existe antes de propor qualquer alteração.

Pode conhecer melhor o que fazemos, ver alguns dos nossos cases e, para perceber em que ponto está o seu site e o seu marketing, pedir o diagnóstico gratuito, que nos permite analisar a situação e dizer-lhe com clareza o que precisa de ser feito. E se quiser perceber melhor o que trava o crescimento da sua empresa, leia também como saber onde está o bloqueio ao crescimento da sua empresa.