Em resumo: O PHP não corre só em servidores web, mas também em interfaces web de sistemas NAS, firewalls e equipamentos especializados, ou em pacotes de servidor web que instalou num NAS. Se um dispositivo está afetado pelo PHP2Shell, só o fabricante o pode dizer; a atualização chega através do firmware. A sua tarefa é encontrar estes dispositivos, retirar as suas interfaces web da Internet e acompanhar os avisos dos fabricantes.
Porque é que os dispositivos com interface web fazem parte da questão do PHP
Quando se fala do PHP2Shell, a maioria pensa no site da empresa ou na loja online. No entanto, o PHP também está em dispositivos que ninguém considera servidores web. Estão na sala de servidores ou no escritório, têm uma interface web de administração e funcionam muitas vezes durante anos sem atenção.
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 afetam, segundo o php.net, o próprio PHP nos modos de operação PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. Se a interface web de um dispositivo usa um destes modos de operação com uma versão vulnerável, o risco aplica-se aí do mesmo modo. A diferença: em regra, não pode atualizar você mesmo o PHP no dispositivo.
Há razões concretas para estes sistemas serem esquecidos. Muitas vezes foram configurados por um prestador que há muito já não presta assistência. As atualizações de firmware não são automáticas, exigem um clique que ninguém dá. E alguns dispositivos trazem funções cómodas de acesso remoto que tornam a interface web acessível a partir da Internet sem o conhecimento da TI. Com uma vulnerabilidade PHP como o PHP2Shell, essa comodidade transforma-se num risco.
Vulnerabilidade PHP em NAS e appliances: que sistemas entram em consideração
Indicamos aqui tipos de dispositivos, sem qualquer afirmação sobre modelos individuais. Se um determinado firmware está afetado, consta exclusivamente dos avisos do fabricante.
| Tipo de dispositivo | Como o PHP entra em cena | Quem atualiza |
|---|---|---|
| NAS com pacote de servidor web | Opera sites ou apps PHP próprios no NAS | O fabricante fornece o pacote PHP, você instala-o |
| Distribuições de firewall e router | Partes da interface de administração estão escritas em PHP | Fabricante, através do firmware |
| Equipamentos especializados com interface web | p. ex. centrais telefónicas, controlo de assiduidade, domótica predial, se o fabricante usar PHP | Fabricante ou revendedor especializado |
| Appliances virtuais | VMs pré-configuradas com interface web própria | Fabricante, através de imagem de atualização |
| Contentores no NAS | Aplicações PHP em contentores Docker | Você, através de uma nova imagem |
Dois exemplos comprovados: a Synology permite operar no Web Station sites PHP com perfis de PHP selecionáveis e anunciou o fim do suporte para o PHP 7.3, 7.4 e 8.0 no DSM 7.3. Os avisos de segurança da Netgate sobre o pfSense descrevem ficheiros PHP e mensagens de erro PHP da interface web. Isto mostra apenas que o PHP ocorre aí, não que estes produtos estejam afetados pelo PHP2Shell.
Inventário: como encontrar os sistemas esquecidos
O passo mais importante é uma lista. Muitas empresas sabem exatamente que sites operam, mas não que dispositivos têm uma interface web. Como é um inventário duradouro está descrito no artigo Inventário de todos os sites e servidores.
- Levantar a rede: reunir os dispositivos da lista DHCP e da visão geral do switch ou da firewall.
- Assinalar as interfaces web: anotar para cada dispositivo se é gerido por HTTP ou HTTPS.
- Verificar as exposições: listar os reencaminhamentos de portas e os serviços de acesso remoto no router. Toda a interface web acessível a partir da Internet sobe na prioridade.
- Atribuir ao fabricante: registar modelo, versão do firmware e ligação aos avisos de segurança do fabricante.
- Registar serviços próprios: listar em separado os pacotes de servidor web e os contentores instalados em sistemas NAS.
Pode obter-se uma primeira indicação com uma consulta inofensiva dos cabeçalhos. O comando limita-se a pedir a página inicial e não altera nada:
# Mostrar os cabeçalhos do servidor de uma interface web (endereço como exemplo)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Se aí constar uma indicação de PHP, é um indício. Se faltar, não prova nada, porque muitos dispositivos suprimem deliberadamente essas indicações.
O que pode fazer se não puder aplicar o patch você mesmo
Nos dispositivos, o patch está com o fabricante. A acessibilidade está consigo, e é aí que está a maior alavanca. O BSI recomenda, no PHP2Shell, retirar temporariamente da rede os servidores web sem atualização; para as interfaces de administração de dispositivos isto vale, por maioria de razão, em sentido análogo.
- Retirar da Internet: remover os reencaminhamentos de portas para interfaces web e permitir o acesso remoto apenas por VPN.
- Separar a rede de administração: tornar as interfaces web acessíveis apenas a partir de uma zona de rede própria para administradores. Os antecedentes estão no artigo Proteger as áreas de administração.
- Desligar o que não se usa: desativar no NAS pacotes de servidor web ou apps de que ninguém precisa.
- Acompanhar os avisos de firmware: ativar as notificações de atualização e instalar as atualizações logo que o fabricante as disponibilize.
- Substituir dispositivos antigos: não operar mais, acessíveis a partir da Internet, dispositivos sem suporte do fabricante, e planear a substituição.
Se opera no NAS sites PHP próprios, para esses sites vale o mesmo que para qualquer servidor web: verificar a versão, atualizar o pacote, reiniciar o serviço. Os fundamentos da vulnerabilidade são explicados em O que é o PHP2Shell?.
Quando um dispositivo esteve aberto na rede
Se uma interface web esteve acessível a partir da Internet entre 17 e 21 de outubro e o dispositivo está afetado, não deve limitar-se a atualizá-lo. Verifique se contas, partilhas ou reencaminhamentos foram alterados, guarde os registos disponíveis e altere as credenciais. Um dispositivo que esteve na rede com um atacante pode servir de trampolim para outros sistemas.
Nas firewalls e nos routers isto é especialmente delicado, porque veem todo o tráfego de dados. Em caso de dúvida, repor as definições de fábrica com uma reconfiguração limpa é mais fiável do que procurar vestígios isolados; antes, os registos e a configuração devem estar guardados.
No caso de um NAS acresce a questão dos dados. Aí estão muitas vezes contratos, documentos de pessoal ou dados de clientes. Se um atacante pôde aceder ao dispositivo, tem de esclarecer se podem estar em causa dados pessoais; nesse caso pode existir uma obrigação de notificação nos termos do RGPD. Combine-o cedo com o seu encarregado da proteção de dados; isto não constitui aconselhamento jurídico.
Como ajuda concretamente a PHP SOS?
- Levantar o inventário: registamos consigo todos os sistemas com interface web, incluindo NAS, appliances e máquinas virtuais.
- Verificar a acessibilidade: verificamos a partir do exterior que interfaces são acessíveis a partir da Internet e propomos proteções. Uma verificação mais profunda é oferecida pela auditoria de segurança com teste de intrusão.
- Acompanhar a situação dos fabricantes: associamos os avisos de segurança dos fabricantes aos seus dispositivos e planeamos as atualizações.
- Esclarecer a suspeita: se um dispositivo afetado esteve aberto na rede, guardamos os registos e procuramos vestígios.
Perguntas frequentes
O meu NAS está afetado pelo PHP2Shell?
Só o fabricante o pode afirmar de forma vinculativa para o seu modelo e firmware. Consulte os avisos de segurança do fabricante e verifique se opera no próprio NAS sites PHP, por exemplo através de um pacote de servidor web. Até haver esclarecimento, a interface não deve ser acessível a partir da Internet.
Posso atualizar eu mesmo o PHP num NAS ou numa firewall?
Em regra, não. O PHP faz aí parte do firmware ou de um pacote do fabricante. As atualizações chegam através da função de atualização do dispositivo. Intervenções manuais no firmware podem pôr em risco a garantia e a estabilidade.
Basta usar a interface web apenas na rede local?
Reduz o risco de forma significativa, mas não o elimina. Um computador já comprometido na mesma rede continua a poder aceder à interface. É melhor uma rede de administração própria ou o acesso apenas por VPN.
Como reconheço que um dispositivo usa PHP?
Por vezes revela-o o cabeçalho do servidor ou a extensão .php nos endereços da interface. A ausência desses indícios não prova nada. Fiáveis são a documentação do fabricante e os avisos de segurança.