# A vulnerabilidade de segurança PHP explicada de forma simples

> A vulnerabilidade PHP explicada de forma simples: o que é o PHP, o que corre mal no PHP2Shell, o que significam os termos e o que fazer como operador.

Fonte: https://phpsos.de/pt/blog/php-luecke-einfach-erklaert/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** A vulnerabilidade PHP explicada de forma simples: o PHP é o software no servidor web que monta os sites no momento em que alguém os abre. No PHP2Shell, o PHP não arruma devidamente em certos casos excecionais, e é exatamente isso que os atacantes podem explorar para executar comandos próprios no servidor sem palavra-passe. A solução é uma atualização do PHP seguida de reinício, que em regra é aplicada pelo seu fornecedor de alojamento ou prestador de serviços.

## Porque é que todos falam precisamente do PHP

Nas notícias falou-se de uma “vulnerabilidade de segurança crítica”, autoridades retiraram sites da rede e o BSI (Gabinete Federal Alemão para a Segurança da Informação) alertou com o nível laranja. Para muitos proprietários e colaboradores, isto soa ameaçador e, ao mesmo tempo, incompreensível. O que é o PHP e porque é que afeta precisamente o site da própria empresa?

Este artigo explica a situação sem jargão. Quem quiser aprofundar depois encontra o enquadramento técnico em [O que é o PHP2Shell?](https://phpsos.de/pt/php2shell/was-ist-php2shell/).

## O que o PHP faz, na verdade: uma imagem do quotidiano

Imagine o seu site como um restaurante. O cliente é o visitante, o pedido é a abertura de uma página. O PHP é a cozinha: recebe cada pedido, vai buscar os ingredientes ao armazém, ou seja, à base de dados, e prepara o prato, ou seja, a página pronta.

Para que seja rápido, a cozinha tem vários cozinheiros que vão despachando muitos pedidos, um após o outro. Os especialistas chamam-lhes “workers”. Depois de cada pedido, o posto de trabalho deve ficar completamente arrumado antes de chegar o seguinte.

Sobre o PHP correm muitos sistemas conhecidos: WordPress, Shopware, TYPO3, Joomla, Nextcloud e inúmeros desenvolvimentos próprios. Como o PHP funciona em geral é explicado no artigo [O que é o PHP?](https://phpsos.de/pt/php/was-ist-php/).

## A vulnerabilidade PHP explicada de forma simples: o que corre mal no PHP2Shell

O PHP2Shell consiste em dois erros. Ambos têm que ver com arrumar, e ambos só ocorrem em situações excecionais.

**O primeiro erro (CVE-2026-109618):** Por vezes, a cozinha fica sem espaço a meio da preparação. Os especialistas dizem “Out of Memory”, a memória está cheia. Então o trabalho é interrompido quando o pedido está apenas meio preparado. Na arrumação seguinte, o PHP toma por erro como prontas coisas que estão inacabadas.

**O segundo erro (CVE-2026-109619):** Depois de um pedido, fica no posto de trabalho algo que já devia ter sido arrumado. O pedido seguinte, junto do mesmo cozinheiro, pode aceder a isso antes de ser removido.

Em ambos os casos vale: quem souber exatamente como provocar esta situação excecional pode levar a cozinha a fazer coisas que nunca foram pedidas. No pior dos casos, toma o controlo do servidor. Não precisa de palavra-passe para isso. Como um pedido é processado no PHP passo a passo é descrito no artigo sobre o [ciclo de vida do pedido](https://phpsos.de/pt/php/request-lebenszyklus/).

> **Dica:**
> Não precisa de compreender a técnica para agir bem. O decisivo é uma única pergunta ao seu fornecedor de alojamento ou prestador de serviços: o PHP no nosso servidor está atualizado e reiniciado, e podem confirmá-lo por escrito?

### Os termos mais importantes de relance

| Termo | Explicado de forma simples |
|---|---|
| PHP | software no servidor que monta as páginas web quando são abertas |
| Vulnerabilidade de segurança | um erro que estranhos podem explorar |
| Número CVE | número de identificação, único a nível mundial, de uma vulnerabilidade |
| CVSS 9,2 | gravidade numa escala até 10; 9,2 é considerado crítico |
| Remote Code Execution | estranhos podem executar comandos próprios no servidor à distância |
| Shell | linha de comandos com que se pode controlar um servidor |
| Patch | atualização que corrige o erro |
| Backport | correção incorporada numa versão mais antiga sem alterar o número de versão |
| Reinício | terminar os processos PHP antigos para que a versão corrigida passe realmente a trabalhar |

## Porque é que atualização, reinício e verificação andam juntos

Fiquemos no restaurante. A atualização é uma nova instrução de trabalho para a cozinha: de agora em diante, arruma-se assim. Só que os cozinheiros que estão de turno continuam a trabalhar segundo a instrução antiga. Só quando o turno muda é que vale a nova. É exatamente isso o reinício: todos os processos PHP antigos são terminados e os novos arrancam com a versão corrigida. Sem reinício, a atualização está no servidor, mas não produz efeito.

E a imagem mostra ainda outra coisa. Uma nova instrução de trabalho evita avarias futuras, mas não diz nada sobre se, nos dias anteriores, alguém esteve na cozinha sem ser notado e escondeu algo. Por isso, depois da atualização faz parte uma verificação de vestígios, sobretudo se o servidor esteve acessível no período entre 17 de outubro e a atualização.

## O que deve fazer agora: três situações de partida típicas

O que fazer depende de onde está o seu site.

1. **O seu site está num fornecedor de alojamento (alojamento partilhado).** O fornecedor aplica em regra a atualização do PHP. A sua tarefa: obter uma confirmação por escrito e verificar no menu de cliente se está definida uma versão atual do PHP. O que mais lhe cabe fazer encontra-se em [Alojamento partilhado: o que o fornecedor faz e o que tem de fazer](https://phpsos.de/pt/server/shared-hosting/).
2. **Uma agência ou um prestador de serviços de TI trata do seu site.** Pergunte-lhes se a atualização foi aplicada e o PHP reiniciado, e peça uma breve verificação de anomalias.
3. **Tem um servidor próprio.** Então é você ou a sua TI o responsável: atualizar o PHP, reiniciar todos os processos PHP, guardar os registos desde 20 de outubro e procurar vestígios.

Nos três casos vale: uma atualização do WordPress ou de outro sistema no site não fecha a vulnerabilidade. E uma atualização não prova que nada tenha acontecido antes.

## Como ajuda concretamente a PHP SOS?

- **Explicar de forma compreensível:** Dizemos-lhe em palavras claras se e como os seus sistemas estão afetados.
- **Falar com o fornecedor de alojamento:** Se desejar, esclarecemos o nível de patch diretamente com o seu fornecedor de alojamento ou prestador de serviços.
- **Atualizar e verificar:** Em servidores próprios, aplicamos a atualização, reiniciamos o PHP e procuramos vestígios.
- **Registar por escrito:** Recebe uma breve documentação do estado.

Mais informações em [ajuda imediata PHP2Shell](https://phpsos.de/pt/leistungen/php2shell-soforthilfe/).

## Conclusão

O PHP2Shell soa complicado, mas a situação não o é no essencial: a cozinha do seu site, em casos excecionais, não arruma bem, e isso pode ser explorado. A atualização repara-o. A sua tarefa é garantir que foi aplicada, ativada e comprovada e, em caso de dúvida, mandar verificar se alguém esteve na cozinha antes.


## Perguntas frequentes

**O que é o PHP em palavras simples?**  
O PHP é uma linguagem de programação que trabalha no servidor web. Quando abre uma página, o PHP monta-a nesse momento, por exemplo com os produtos atuais, os preços ou o seu carrinho de compras, e envia-a para o seu navegador.

**O meu site está afetado se uso WordPress?**  
O WordPress corre com PHP, pelo que o servidor que está por baixo pode estar afetado. Se o seu site está em risco depende do nível do PHP no servidor, e não da versão do WordPress. Pergunte ao seu fornecedor de alojamento ou prestador de serviços pela atualização do PHP.

**Posso estar em risco como visitante de um site?**  
A vulnerabilidade afeta servidores, e não os computadores dos visitantes. Se um servidor for tomado, os atacantes poderiam, no entanto, por exemplo alterar conteúdos ou redirecionar visitantes para sites de terceiros. É por isso que a atualização é importante para os operadores.

**O que significa o nome PHP2Shell?**  
Descreve a possível consequência: através do PHP, um atacante pode, no pior dos casos, obter uma shell, ou seja, uma espécie de controlo remoto do servidor. As designações oficiais são CVE-2026-109618 e CVE-2026-109619.

## Fontes

- [php.net: avisos de segurança](https://www.php.net/)
- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)