# O que o BSI recomenda sobre o PHP2Shell

> Aviso do BSI sobre o PHP: o que significa o nível de alerta 3 (laranja) no PHP2Shell, o que o BSI recomenda e como o aplicar na prática aos seus servidores web.

Fonte: https://phpsos.de/pt/compliance/bsi-empfehlungen/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** o BSI declarou para o PHP2Shell o nível de alerta 3 (laranja). A recomendação é inequívoca: atualizar o PHP de imediato e, se isso não for possível de imediato, retirar temporariamente da rede os servidores web afetados. O BSI contava com uma exploração rápida e em larga escala; ataques bem-sucedidos confirmados em larga escala não eram inicialmente conhecidos.

## O aviso do BSI sobre o PHP em resumo

O Gabinete Federal Alemão para a Segurança da Informação (BSI) é a autoridade especializada central em cibersegurança na Alemanha. Para o PHP2Shell publicou um aviso de nível 3 (laranja). A causa são duas vulnerabilidades críticas no próprio PHP: CVE-2026-109618 e CVE-2026-109619, ambas com a pontuação CVSS v4.0 9.2. Permitem a atacantes executar código malicioso no servidor sem autenticação.

As principais afirmações do aviso podem resumir-se assim:

| Afirmação | Significado para os operadores |
|---|---|
| Nível de alerta 3 / laranja | situação séria, é necessário agir |
| Recomendada a atualização imediata | instalar as versões PHP corrigidas |
| Caso contrário, retirar temporariamente da rede | subordinar a disponibilidade à proteção |
| Esperada exploração rápida e em larga escala | não esperar pelos primeiros relatos de danos |
| Ataques bem-sucedidos em larga escala inicialmente não confirmados | não é motivo para descansar |

A versão atual em cada momento encontra-a no site do BSI.

## O que significa na prática “atualizar de imediato”

O projeto PHP publicou a 21/10/2026, às 14:00 UTC (16:00, hora alemã), as versões corrigidas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para o PHP 8.1 e anteriores já não existem atualizações oficiais, apenas backports mínimos do código-fonte para 7.4, 8.0 e 8.1.

Uma atualização só é eficaz quando todos os processos PHP foram reiniciados. Ficheiros novos, por si só, não bastam enquanto houver workers antigos em memória. Além disso, vale que: as distribuições e os fornecedores de alojamento instalam por vezes as correções como backport. Então o Plesk, por exemplo, continua a mostrar 8.2.34, embora haja patch. O decisivo são o nível dos pacotes e a confirmação do fornecedor. E uma atualização do CMS, por exemplo do WordPress, não fecha a vulnerabilidade do PHP.

## Se uma atualização não for possível de imediato

Para este caso, o BSI recomenda retirar temporariamente os servidores web da rede. É uma medida dura, mas clara. Para muitas empresas, uma paragem planeada de algumas horas é menos prejudicial do que uma intrusão com fuga de dados.

O php.net indica além disso medidas provisórias que reduzem o risco, mas expressamente não oferecem proteção completa. Entre elas contam-se `session.upload_progress.enabled=0` na configuração do servidor, valores limitados de `post_max_size`, limites de memória através de contentores ou cgroups e, no PHP 8.5, `fatal_error_backtraces=0`, em cada caso com reinício posterior de todos os workers. Os pormenores estão em [Medidas imediatas sem patch](https://phpsos.de/pt/php2shell/sofortmassnahmen-ohne-patch/).

> **Agir de imediato:**
> Se um servidor web acessível publicamente ainda correr com PHP sem patch e sem medidas provisórias, da recomendação do BSI resulta: retirar o servidor da rede até a atualização estar instalada e todos os processos reiniciados.

## Enquadramento da situação

O BSI não está sozinho na sua avaliação. A Cloudflare comunicou tentativas de ataque observadas e lançou regras de proteção, mas avisa que regras baseadas apenas nos dados do pedido não bastam. A Palo Alto Networks (Unit 42) contou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis. Segundo notícias dos meios de comunicação, uma primeira tentativa de ataque foi observada já a 17/10/2026, ou seja, antes da publicação dos patches.

Para os operadores daqui resulta uma avaliação sóbria: quem até hoje não aplicou o patch deve não só aplicá-lo, mas também verificar se já aconteceu alguma coisa. Um patch não remove software malicioso introduzido. Não existem Indicators of Compromise publicados e confirmados; a deteção assenta em análise de comportamento. A imprensa especializada aconselha a guardar os registos do servidor a partir de 20/10/2026. Indicações para a pesquisa estão em [Será que já fui comprometido?](https://phpsos.de/pt/php2shell/bin-ich-gehackt-anzeichen/).

## O que a recomendação significa para os responsáveis

Um aviso do BSI não é uma lei. É, porém, a avaliação da autoridade especializada competente e poderá desempenhar um papel na avaliação posterior de decisões, por exemplo por seguradoras ou auditores. As gerências devem por isso documentar quando tomaram conhecimento do aviso, como avaliaram os seus próprios sistemas e que medidas tomaram. Indicações gerais sobre isto estão em [Responsabilidade da gerência](https://phpsos.de/pt/compliance/geschaeftsfuehrer-haftung/); isto não é aconselhamento jurídico.

Na prática, recomenda-se não ler o aviso apenas uma vez. O BSI atualiza as suas comunicações quando a situação muda, por exemplo com novas conclusões sobre a exploração ou sobre outras vulnerabilidades. Desde 23/10/2026 existe além disso um aviso do php.net sobre a CVE-2026-115560, que só afeta configurações invulgares e que também é atenuada com `session.upload_progress.enabled=0`. Designe uma pessoa que verifique diariamente o BSI e o php.net até ao encerramento da situação e transmita as alterações à área técnica e à direção. Assim não surge um desnível de conhecimento entre quem decide e quem executa.

## Como ajuda concretamente a PHP SOS?

- Comparamos os seus servidores web com a recomendação do BSI: versão, nível dos pacotes, reinício, acessibilidade.
- No âmbito da [assistência imediata PHP2Shell](https://phpsos.de/pt/leistungen/php2shell-soforthilfe/), aplicamos o patch, reiniciamos todos os processos e fornecemos um comprovativo.
- Onde uma atualização não é possível de imediato, aplicamos medidas provisórias e, se necessário, disponibilizamos uma página de substituição estática.
- Preservamos os registos e verificamos se há vestígios, para que possa avaliar a situação de forma sólida depois do patch.


## Perguntas frequentes

**O que significa o nível de alerta 3 (laranja) no BSI?**  
A cor descreve uma situação de ameaça elevada e séria, com necessidade de agir. No caso do PHP2Shell, o BSI fundamenta-a com a criticidade das vulnerabilidades e com a exploração rápida esperada. A definição exata dos níveis encontra-a no site do BSI.

**Tenho de seguir a recomendação do BSI?**  
Um aviso do BSI é uma recomendação, não uma lei. É, no entanto, uma avaliação de peso da autoridade especializada competente, pela qual podem orientar-se seguradoras, auditores e tribunais. Quem se afastar dela deve documentar os motivos. Isto não é aconselhamento jurídico.

**Segundo o BSI, já houve ataques bem-sucedidos?**  
Segundo o BSI, ataques bem-sucedidos confirmados em larga escala não eram inicialmente conhecidos. O BSI contava, porém, com uma exploração rápida e em grande escala. Outras entidades já comunicaram tentativas de ataque.

**Onde encontro a versão atual do aviso?**  
No site do BSI, nos avisos de segurança atuais. A situação pode mudar; verifique regularmente aí e no php.net o estado mais recente.

## Fontes

- [BSI (Gabinete Federal Alemão para a Segurança da Informação)](https://www.bsi.bund.de/)
- [php.net: avisos de segurança](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)