# Ciberataque a uma PME: primeiros socorros para servidores web

> Ciberataque a uma PME e sem departamento de segurança próprio? Assumimos remotamente o incidente do servidor web. Ligue ou escreva-nos por WhatsApp.

Fonte: https://phpsos.de/pt/soforthilfe/cyberangriff-mittelstand-erste-hilfe/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** está afetado? Ligue-nos. Nós ajudamos. Nas médias empresas falta muitas vezes um departamento de segurança próprio, e é precisamente para isso que cá estamos: desde a primeira mensagem, assumimos remotamente os primeiros socorros para os seus servidores web, preservamos vestígios, fechamos a vulnerabilidade, limpamos e documentamos, até o incidente estar encerrado.

> **Agir de imediato:**
> **Não apague nada nem reinstale nada agora.** Isto vale também quando a atividade aperta e o site tem de voltar a funcionar. Primeiro preservar, depois reparar. [Comunicar uma emergência](https://phpsos.de/pt/notfall/); dizemos-lhe o que pode fazer por si sem risco.

## Está afetado? A situação típica nas médias empresas

Quem dirige uma empresa com 20, 200 ou 800 colaboradores tem, na maioria das vezes, uma ou duas pessoas para a TI, uma agência para o site e um fornecedor de alojamento para o servidor. É normal, mas num caso grave tornam-se visíveis as lacunas. É de supor um risco agudo quando:

- O seu site, o seu portal de clientes ou a sua loja online corre em PHP e ninguém sabe ao certo qual é a versão exata.
- Um fornecedor de alojamento, um cliente ou um aviso no navegador comunica anomalias.
- O seu administrador relata que há ficheiros ou contas no servidor web que não consegue explicar.
- Não sabe que sistemas estão sequer acessíveis publicamente.
- O servidor web tem acesso a sistemas internos, bases de dados ou arquivos de ficheiros.

A imprensa especializada apresenta como contexto que quase todas as versões do PHP podem estar afetadas: segundo relatos, estão afetadas versões até ao PHP 5.4. Como é a situação nas médias empresas, descreve-o a página [Segurança informática para PME e indústria](https://phpsos.de/pt/branchen/mittelstand-industrie/).

## O que fazer já

1. **Formar uma célula de crise.** Gerência, TI e, se for caso disso, proteção de dados: poucas pessoas, um decisor.
2. **Reunir os sistemas.** Que servidores, sites e portais estão afetados ou poderiam estar? Uma lista simples basta.
3. **Não alterar nada.** Sem ações de limpeza, sem reinstalação, sem reposição de cópias de segurança.
4. **Mandar verificar as ligações.** O servidor web está ligado à rede interna? Então um ataque ao site pode afetar mais do que apenas o site.
5. **Contactar o fornecedor de alojamento e a agência.** Peça a ambos que conservem os registos e confirmem o estado e as responsabilidades. Como fazê-lo, vê-se em [Como perguntar ao seu fornecedor de alojamento pelo estado do patch](https://phpsos.de/pt/ratgeber/hoster-patch-status-erfragen/).
6. **Proteger os acessos.** Altere palavras-passe e chaves só depois de acordo e a partir de dispositivos limpos.
7. **Contacte-nos agora.** Ligue ou escreva-nos por WhatsApp.

## Primeiros socorros para servidores web: como procedemos nas médias empresas

Uma empresa de média dimensão não pode permitir-se uma paragem, mas também não pode permitir-se uma intervenção descontrolada. Por isso trabalhamos por fases, que perturbam o mais possível pouco a atividade em curso:

- **Fase 1, isolar:** esclarecemos se os servidores afetados têm de ser temporariamente limitados. No caso do PHP2Shell, o BSI recomenda retirar da rede os servidores web, se uma atualização não for possível de imediato.
- **Fase 2, preservar:** preservamos registos, ficheiros e bases de dados, para que o incidente continue a ser demonstrável.
- **Fase 3, resolver:** patch ou configuração, reinício de todos os processos PHP, fecho de acessos desconhecidos.
- **Fase 4, verificar:** procuramos no sistema e na sua envolvente vestígios e danos subsequentes, também em servidores adjacentes.

Um ponto decisivo para quem decide: uma atualização do CMS, por exemplo do WordPress, não fecha a vulnerabilidade do PHP, e um patch não remove código malicioso já introduzido. Quem diz «concluído» depois da atualização não fez metade do trabalho.

## Erros típicos nas médias empresas nas primeiras horas

Da prática conhecem-se alguns padrões que agravam o dano. Primeiro, a responsabilidade é passada de um lado para o outro: o fornecedor de alojamento remete para o cliente, a agência para o fornecedor de alojamento, o administrador para a gerência. Por isso, defina cedo quem decide. Segundo, a recuperação é feita depressa de mais. Repor uma cópia de segurança antiga sem fechar a porta de entrada traz o atacante logo de volta. Terceiro, a comunicação fica por fazer: colaboradores, clientes e parceiros de negócio ficam a saber do incidente em segunda mão.

Em [Comunicação de crise após um ataque](https://phpsos.de/pt/compliance/krisenkommunikation/) encontra indicações de como resolver isso com calma. Como regra de ouro: melhor dizer pouco, mas com provas.

## Como ajuda concretamente a PHP SOS?

1. **Levantar a situação:** esclarecemos consigo os sistemas, o modo de operação (PHP-FPM, mod_php ou LiteSpeed), os dados e os interlocutores. Uma primeira panorâmica surge depressa, mesmo sem conhecimentos de pormenor.
2. **Preservar e fechar:** preservamos vestígios e fechamos a porta de entrada, sem perturbar desnecessariamente os seus processos.
3. **Verificar e limpar:** webshells, backdoors, cronjobs e contas alheias são procurados e removidos. Pormenores em [Remoção de malware e webshells](https://phpsos.de/pt/leistungen/malware-entfernung/).
4. **Reforçar e relatar:** recebe um relatório para a gerência, a proteção de dados e o segurador. Se desejar, construímos consigo a prevenção, por exemplo através de um [contrato de manutenção de segurança](https://phpsos.de/pt/leistungen/security-wartungsvertrag/).

Se o incidente se estender para além de um servidor web, passamos a uma [resposta a incidentes](https://phpsos.de/pt/leistungen/incident-response/) estruturada.

## Depois: prevenção sem departamento de segurança próprio

Quando o incidente está encerrado, fica a pergunta de como evitar o próximo ou, pelo menos, reconhecê-lo mais cedo. Para empresas sem equipa de segurança própria, quatro coisas são as mais importantes: um [inventário de todos os sites e servidores](https://phpsos.de/pt/blog/inventar-websites-server/) atualizado, um interlocutor claro para as atualizações, cópias de segurança verificadas e um breve [plano de emergência de TI](https://phpsos.de/pt/compliance/notfallplan-erstellen/).

Se a sua empresa está abrangida pelas obrigações da [NIS2](https://phpsos.de/pt/compliance/nis2/) é uma questão jurídica a que não respondemos. Encontra informação geral na nossa página; o enquadramento cabe ao advogado ou ao encarregado da proteção de dados.

## O que nos deve enviar

- uma breve descrição do incidente e do momento
- uma lista dos sites, lojas e portais com o fornecedor de alojamento e, na medida do conhecido, a versão do PHP
- nomes do administrador, da agência e do fornecedor de alojamento que conhecem o sistema
- indicações sobre se o servidor web está ligado a sistemas internos
- informações sobre cópias de segurança e sobre um eventual ciberseguro existente

## Porquê a PHP SOS

Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Para si isto significa: um interlocutor em vez de muitos, trabalho remoto sem deslocações em toda a Alemanha e na Europa, e uma documentação com que se afirma perante clientes, segurador e autoridades. Separamos abertamente o que está comprovado, o que é provável e o que é desconhecido, e não prometemos nada que ninguém possa cumprir.

## Está afetado? Ligue-nos. Nós ajudamos.

Para os primeiros socorros não precisa de um departamento de segurança próprio, mas de um interlocutor que comece. Assumimos o caso desde a primeira mensagem e ficamos até o incidente estar encerrado e documentado. [Comunicar já uma emergência](https://phpsos.de/pt/notfall/).


## Perguntas frequentes

**O que fazer perante um ciberataque sem departamento de segurança informática próprio?**  
Preservar os vestígios, não apagar nada, nomear um decisor e obter ajuda externa. Uma média empresa não tem de saber fazer tudo sozinha. Assumimos a parte técnica e trabalhamos com o seu administrador, a sua agência ou o seu fornecedor de alojamento.

**As pequenas e médias empresas são sequer alvo de ataques?**  
Sim. As análises automatizadas procuram servidores sem patch, sem olhar ao tamanho da empresa. No caso do PHP2Shell, a Palo Alto Networks (Unit 42) contou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis.

**A nossa atividade tem de parar se o servidor web for atacado?**  
Não necessariamente. Muitas vezes é possível isolar o site e a loja enquanto os sistemas internos continuam a funcionar. Esclarecemos primeiro se existem ligações entre o servidor web e a sua rede interna.

**A NIS2 aplica-se a nós e o que significa isso num incidente?**  
Se a sua empresa cai ou não sob a NIS2 depende do setor e da dimensão e é uma questão jurídica. A nossa página sobre a NIS2 dá uma panorâmica; o enquadramento para o seu caso cabe ao advogado ou ao encarregado da proteção de dados.

**Como nos preparamos para o próximo incidente?**  
Com um inventário dos sistemas, um interlocutor nomeado, cópias de segurança verificadas e um breve plano de emergência. Ajudamos na sua construção depois de o incidente agudo estar encerrado.

## Fontes

- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)