Em resumo: A vulnerabilidade PHP explicada de forma simples: o PHP é o software no servidor web que monta os sites no momento em que alguém os abre. No PHP2Shell, o PHP não arruma devidamente em certos casos excecionais, e é exatamente isso que os atacantes podem explorar para executar comandos próprios no servidor sem palavra-passe. A solução é uma atualização do PHP seguida de reinício, que em regra é aplicada pelo seu fornecedor de alojamento ou prestador de serviços.
Porque é que todos falam precisamente do PHP
Nas notícias falou-se de uma “vulnerabilidade de segurança crítica”, autoridades retiraram sites da rede e o BSI (Gabinete Federal Alemão para a Segurança da Informação) alertou com o nível laranja. Para muitos proprietários e colaboradores, isto soa ameaçador e, ao mesmo tempo, incompreensível. O que é o PHP e porque é que afeta precisamente o site da própria empresa?
Este artigo explica a situação sem jargão. Quem quiser aprofundar depois encontra o enquadramento técnico em O que é o PHP2Shell?.
O que o PHP faz, na verdade: uma imagem do quotidiano
Imagine o seu site como um restaurante. O cliente é o visitante, o pedido é a abertura de uma página. O PHP é a cozinha: recebe cada pedido, vai buscar os ingredientes ao armazém, ou seja, à base de dados, e prepara o prato, ou seja, a página pronta.
Para que seja rápido, a cozinha tem vários cozinheiros que vão despachando muitos pedidos, um após o outro. Os especialistas chamam-lhes “workers”. Depois de cada pedido, o posto de trabalho deve ficar completamente arrumado antes de chegar o seguinte.
Sobre o PHP correm muitos sistemas conhecidos: WordPress, Shopware, TYPO3, Joomla, Nextcloud e inúmeros desenvolvimentos próprios. Como o PHP funciona em geral é explicado no artigo O que é o PHP?.
A vulnerabilidade PHP explicada de forma simples: o que corre mal no PHP2Shell
O PHP2Shell consiste em dois erros. Ambos têm que ver com arrumar, e ambos só ocorrem em situações excecionais.
O primeiro erro (CVE-2026-109618): Por vezes, a cozinha fica sem espaço a meio da preparação. Os especialistas dizem “Out of Memory”, a memória está cheia. Então o trabalho é interrompido quando o pedido está apenas meio preparado. Na arrumação seguinte, o PHP toma por erro como prontas coisas que estão inacabadas.
O segundo erro (CVE-2026-109619): Depois de um pedido, fica no posto de trabalho algo que já devia ter sido arrumado. O pedido seguinte, junto do mesmo cozinheiro, pode aceder a isso antes de ser removido.
Em ambos os casos vale: quem souber exatamente como provocar esta situação excecional pode levar a cozinha a fazer coisas que nunca foram pedidas. No pior dos casos, toma o controlo do servidor. Não precisa de palavra-passe para isso. Como um pedido é processado no PHP passo a passo é descrito no artigo sobre o ciclo de vida do pedido.
Não precisa de compreender a técnica para agir bem. O decisivo é uma única pergunta ao seu fornecedor de alojamento ou prestador de serviços: o PHP no nosso servidor está atualizado e reiniciado, e podem confirmá-lo por escrito?
Os termos mais importantes de relance
| Termo | Explicado de forma simples |
|---|---|
| PHP | software no servidor que monta as páginas web quando são abertas |
| Vulnerabilidade de segurança | um erro que estranhos podem explorar |
| Número CVE | número de identificação, único a nível mundial, de uma vulnerabilidade |
| CVSS 9,2 | gravidade numa escala até 10; 9,2 é considerado crítico |
| Remote Code Execution | estranhos podem executar comandos próprios no servidor à distância |
| Shell | linha de comandos com que se pode controlar um servidor |
| Patch | atualização que corrige o erro |
| Backport | correção incorporada numa versão mais antiga sem alterar o número de versão |
| Reinício | terminar os processos PHP antigos para que a versão corrigida passe realmente a trabalhar |
Porque é que atualização, reinício e verificação andam juntos
Fiquemos no restaurante. A atualização é uma nova instrução de trabalho para a cozinha: de agora em diante, arruma-se assim. Só que os cozinheiros que estão de turno continuam a trabalhar segundo a instrução antiga. Só quando o turno muda é que vale a nova. É exatamente isso o reinício: todos os processos PHP antigos são terminados e os novos arrancam com a versão corrigida. Sem reinício, a atualização está no servidor, mas não produz efeito.
E a imagem mostra ainda outra coisa. Uma nova instrução de trabalho evita avarias futuras, mas não diz nada sobre se, nos dias anteriores, alguém esteve na cozinha sem ser notado e escondeu algo. Por isso, depois da atualização faz parte uma verificação de vestígios, sobretudo se o servidor esteve acessível no período entre 17 de outubro e a atualização.
O que deve fazer agora: três situações de partida típicas
O que fazer depende de onde está o seu site.
- O seu site está num fornecedor de alojamento (alojamento partilhado). O fornecedor aplica em regra a atualização do PHP. A sua tarefa: obter uma confirmação por escrito e verificar no menu de cliente se está definida uma versão atual do PHP. O que mais lhe cabe fazer encontra-se em Alojamento partilhado: o que o fornecedor faz e o que tem de fazer.
- Uma agência ou um prestador de serviços de TI trata do seu site. Pergunte-lhes se a atualização foi aplicada e o PHP reiniciado, e peça uma breve verificação de anomalias.
- Tem um servidor próprio. Então é você ou a sua TI o responsável: atualizar o PHP, reiniciar todos os processos PHP, guardar os registos desde 20 de outubro e procurar vestígios.
Nos três casos vale: uma atualização do WordPress ou de outro sistema no site não fecha a vulnerabilidade. E uma atualização não prova que nada tenha acontecido antes.
Como ajuda concretamente a PHP SOS?
- Explicar de forma compreensível: Dizemos-lhe em palavras claras se e como os seus sistemas estão afetados.
- Falar com o fornecedor de alojamento: Se desejar, esclarecemos o nível de patch diretamente com o seu fornecedor de alojamento ou prestador de serviços.
- Atualizar e verificar: Em servidores próprios, aplicamos a atualização, reiniciamos o PHP e procuramos vestígios.
- Registar por escrito: Recebe uma breve documentação do estado.
Mais informações em ajuda imediata PHP2Shell.
Conclusão
O PHP2Shell soa complicado, mas a situação não o é no essencial: a cozinha do seu site, em casos excecionais, não arruma bem, e isso pode ser explorado. A atualização repara-o. A sua tarefa é garantir que foi aplicada, ativada e comprovada e, em caso de dúvida, mandar verificar se alguém esteve na cozinha antes.
Perguntas frequentes
O que é o PHP em palavras simples?
O PHP é uma linguagem de programação que trabalha no servidor web. Quando abre uma página, o PHP monta-a nesse momento, por exemplo com os produtos atuais, os preços ou o seu carrinho de compras, e envia-a para o seu navegador.
O meu site está afetado se uso WordPress?
O WordPress corre com PHP, pelo que o servidor que está por baixo pode estar afetado. Se o seu site está em risco depende do nível do PHP no servidor, e não da versão do WordPress. Pergunte ao seu fornecedor de alojamento ou prestador de serviços pela atualização do PHP.
Posso estar em risco como visitante de um site?
A vulnerabilidade afeta servidores, e não os computadores dos visitantes. Se um servidor for tomado, os atacantes poderiam, no entanto, por exemplo alterar conteúdos ou redirecionar visitantes para sites de terceiros. É por isso que a atualização é importante para os operadores.
O que significa o nome PHP2Shell?
Descreve a possível consequência: através do PHP, um atacante pode, no pior dos casos, obter uma shell, ou seja, uma espécie de controlo remoto do servidor. As designações oficiais são CVE-2026-109618 e CVE-2026-109619.