Em resumo: na cibersegurança das PME, o PHP2Shell raramente falha por causa do patch, mas sim por falta de visão de conjunto. Além do site, correm portais de revendedores, configuradores, páginas de carreiras e wikis internas em prestadores diferentes. Só uma lista completa torna o risco controlável e comprovável perante clientes e autoridades de supervisão.
Sistemas PHP típicos em empresas de média dimensão
Ao longo dos anos acumulam-se nas empresas industriais muitas aplicações baseadas na web: lojas B2B de peças sobressalentes, portais de revendedores e parceiros com tabelas de preços, configuradores de produtos, áreas de download de documentação técnica e dados CAD, portais de reclamações e de serviço, páginas de carreiras com gestão de candidatos. Internamente juntam-se wikis como o MediaWiki, ferramentas de tickets e análise web.
Uma grande parte corre em PHP. Os sistemas foram muitas vezes encomendados por departamentos, construídos por agências e operados em fornecedores de alojamento que a TI central não conhece. É precisamente aí que está, perante uma vulnerabilidade como o PHP2Shell, o verdadeiro problema.
Que dados e ligações podem estar afetados
Nos portais existem condições de clientes, interlocutores nos revendedores, dados de propostas e de encomendas, bem como desenhos sujeitos a acordos de confidencialidade. Os portais de candidatos contêm currículos e certificados. Para concorrentes e extorsionistas, os dados de construção e as estruturas de preços são muitas vezes mais valiosos do que os dados pessoais.
As ligações são críticas: muitos portais trocam dados com o ERP, a gestão de mercadorias ou o PIM. Quem executa código num servidor web deste tipo encontra aí credenciais de interfaces, de bases de dados ou de VPN. Um portal comprometido pode assim tornar-se a porta de entrada para a rede da empresa.
PME e cibersegurança: cadeia de abastecimento e NIS2
Com a NIS2, aplicam-se a muitas empresas obrigações alargadas de gestão de risco e de notificação de incidentes de segurança significativos. Se a sua empresa está diretamente abrangida depende do setor e da dimensão. Indiretamente estão-no muitas mais, porque os clientes transmitem requisitos de segurança aos seus fornecedores através de contratos.
Para a gestão de topo junta-se a questão da própria responsabilidade. O que em geral se aplica a este respeito, explica-o a página sobre a responsabilidade da administração. A avaliação em cada caso concreto pertence ao seu aconselhamento jurídico.
A Palo Alto Networks (Unit 42) contou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis. Um sistema de teste esquecido de uma agência é tão visível para as varreduras automatizadas como o seu site principal.
A típica lacuna de responsabilidade nas PME
| Área | Quem decide muitas vezes | O que falta |
|---|---|---|
| Site da empresa | Marketing com agência | Comprovativo de patch do PHP |
| Portal de revendedores, loja B2B | Vendas com prestador | Integração no conceito de segurança informática |
| Página de carreiras | Pessoal com fornecedor | Clareza sobre alojamento e dados |
| Ferramentas internas | departamentos individuais | Inventário e responsáveis |
A TI central é responsável pela rede, pelos postos de trabalho e pelo ERP, mas muitas vezes não tem acesso a sistemas alojados externamente. Este padrão torna-se um estrangulamento a cada vulnerabilidade crítica. Resolve-o uma regra simples: qualquer aplicação web que trate dados da empresa é comunicada à TI, com operador e interlocutor, antes de entrar em linha.
Separar corretamente o servidor web e a rede de produção
Na indústria juntam-se aplicações web que comunicam com máquinas e instalações: portais de serviço e de manutenção remota, painéis com dados de máquinas, portais para clientes que consultam o estado das instalações que lhes foram fornecidas. Algumas delas são construídas em PHP e situam-se numa zona de rede com mais ligações do que as necessárias para a tarefa.
Um servidor web comprometido não pode ser um trampolim para a produção. Verifique que ligações existem entre as zonas de rede dos servidores web e as redes de escritório e de produção e limite-as ao necessário. As credenciais guardadas em servidores web devem ter apenas os direitos de que a aplicação realmente precisa. Nos acessos de manutenção remota, isso aplica-se em especial.
Primeiras horas para a direção de TI e a administração
- Criar um inventário de todos os sistemas PHP acessíveis externamente: domínio, operador, versão do PHP, modo de operação, interlocutor.
- Tratar primeiro os sistemas com mod_php e os que estão em PHP 8.1 ou anterior. No mod_php, a equipa do PHP classifica o risco como o mais elevado.
- Para cada sistema, pedir por escrito a confirmação do patch para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou do backport, e do reinício. O que não puder ser confirmado, desligar temporariamente da rede.
- Guardar os registos desde 20/10/2026 e verificar as ligações dos servidores web à rede interna.
- Documentar sucintamente o estado, para poder responder de forma comprovável a clientes, seguradora e, se for caso disso, autoridades.
Como ajuda concretamente a PHP SOS?
- Elaboramos, em conjunto com a TI e os departamentos, o inventário dos sistemas PHP e estabelecemos prioridades por risco.
- Coordenamos patches e reinícios com agências e fornecedores de alojamento e reunimos os comprovativos num único local.
- Em caso de suspeita, assumimos a resposta a incidentes estruturada, com preservação de vestígios e verificação das ligações à rede da empresa.
- Depois, oferecemos uma auditoria de segurança ou um teste de intrusão realizado por parceiros especializados, cujo resultado pode apresentar aos clientes.
- Se desejar, vigiamos os sistemas de forma contínua, para que o inventário se mantenha atualizado.
Perguntas frequentes
A nossa empresa está abrangida pela NIS2?
Depende do setor, da dimensão da empresa e do volume de negócios e tem de ser verificado caso a caso. Mesmo quem não está diretamente abrangido pela NIS2 sente muitas vezes os requisitos através de clientes na cadeia de abastecimento. O enquadramento vinculativo esclarece-o com o seu aconselhamento jurídico.
Pode um servidor web comprometido levar à rede da empresa?
É possível, se o servidor web tiver ligações à rede interna, por exemplo interfaces com o ERP, credenciais partilhadas ou um túnel VPN. Se é o seu caso, mostra-o uma verificação das ligações de rede e das credenciais guardadas.
Como encontramos todas as aplicações PHP da empresa?
O ponto de partida são registos DNS, certificados, faturas de alojamento e contratos com agências. Ajudam, em complemento, inquéritos em marketing, vendas, serviço e pessoal. Na maioria das vezes surgem sistemas que o departamento de TI nem conhecia.
O que esperam de nós, como fornecedor, os clientes depois do PHP2Shell?
Alguns clientes perguntam ativamente se os seus fornecedores foram afetados e como reagiram. É útil uma exposição concisa e comprovável: que sistemas, que nível de patch, quando foi reiniciado, que verificações de comprometimento. Prometer mais do que o comprovado prejudica.