# Webshell encontrada? Como agir agora

> Encontrou uma webshell ou um ficheiro PHP suspeito? Não apague, preserve primeiro. Esclarecemos o âmbito e a entrada. Ligue ou escreva-nos por WhatsApp.

Fonte: https://phpsos.de/pt/soforthilfe/webshell-gefunden/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** uma webshell é um pequeno ficheiro através do qual um estranho pode controlar o seu servidor à distância. Quem encontrou uma está muito provavelmente afetado e deve contactar-nos de imediato. Não apagar, não abrir, preservar primeiro. Esclarecemos remotamente como chegou ao servidor, se existem outros acessos, e limpamos o servidor.

> **Agir de imediato:**
> **Não apague nada nem reinstale nada agora.** Também a própria webshell fica, para já, onde está, para poder ser preservada. Está afetado? Ligue ou escreva-nos por WhatsApp, ou comunique o achado através de [Comunicar uma emergência](https://phpsos.de/pt/notfall/).

## Encontrou uma webshell: o que significa?

Uma webshell é um script PHP (ou um script noutra linguagem de servidor) que recebe comandos do exterior. Com ela, os atacantes podem ler ficheiros, descarregar dados, carregar código malicioso e alcançar outros sistemas. O ficheiro raramente é, por isso, o objetivo do ataque. É a porta dos fundos que um intruso deixa para poder voltar.

Isto tem duas consequências. Primeira: alguém já tinha acesso de escrita ao seu servidor ou conseguiu executar código. Segunda: o ficheiro encontrado provavelmente não é o único. A isto soma-se o que muitas vezes se desconhece: desde quando está lá e o que foi feito entretanto com ele?

## Como reconhece uma webshell

- um ficheiro PHP numa pasta onde não deveria haver nenhum, por exemplo uploads, cache, imagens ou diretórios temporários
- nomes de ficheiro que parecem ficheiros de sistema, mas não pertencem ao seu software, ou nomes com extensão dupla
- código ilegível, com longas cadeias de carateres, codificação e funções para executar comandos, ver [Reconhecer código PHP ofuscado](https://phpsos.de/pt/blog/verschleierter-php-code/)
- uma data de alteração que não coincide com as suas atualizações
- acessos a este ficheiro nos registos, muitas vezes a partir de endereços estranhos e com pedidos POST
- processos do servidor web que iniciam uma shell, como descrito em [Sinal de alerta: o servidor web inicia uma shell](https://phpsos.de/pt/blog/webserver-startet-shell/)

Como interpretar corretamente os achados, explica-o [Ficheiros PHP na pasta de uploads](https://phpsos.de/pt/blog/php-dateien-im-upload-ordner/) e, em pormenor, [Reconhecer e remover webshells](https://phpsos.de/pt/ratgeber/webshell-erkennen/).

## O que fazer já

1. **Não abrir nem executar o ficheiro.** Sem testes no navegador.
2. **Não apagar nem mover.** Não altere nem o conteúdo nem as marcas de data e hora.
3. **Anotar:** caminho completo, nome do ficheiro, momento do achado, quem o descobriu e com que meios.
4. **Preservar o ficheiro e os metadados:** uma cópia com proprietário, permissões e marcas de data e hora. Bastam comandos de verificação apenas de leitura, por exemplo:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Conservar os registos:** não deixe que os registos de acesso e de erros do servidor web e do PHP sejam substituídos. A imprensa especializada aconselha a conservar os registos do servidor a partir de 20/10/2026.
6. **Isolar o servidor, se necessário:** se suspeita de fuga de dados, retire o site da rede. Como preservar provas ao fazê-lo, descreve-o [Preservar provas antes de reinstalar](https://phpsos.de/pt/blog/beweise-sichern-vor-neuinstallation/).
7. **Informar-nos** antes de alterar palavras-passe ou de limpar ficheiros.

## Como ajuda concretamente a PHP SOS?

1. **Levantar a situação:** o que foi encontrado, onde, quando e por quem? Que sistemas estão no mesmo servidor?
2. **Preservar e fechar:** preservamos o achado, os ficheiros, a base de dados e os registos e bloqueamos os acessos que parecem suspeitos.
3. **Verificar e limpar:** procuramos outras webshells, ficheiros do núcleo alterados, [cronjobs ocultos](https://phpsos.de/pt/blog/cronjobs-als-hintertuer/), contas de administrador alheias e [chaves SSH desconhecidas](https://phpsos.de/pt/blog/ssh-schluessel-pruefen/), e removemo-los. O procedimento corresponde ao serviço de [remoção de malware e webshells](https://phpsos.de/pt/leistungen/malware-entfernung/).
4. **Reforçar e relatar:** identificamos a provável porta de entrada, fechamo-la e protegemos o servidor. Recebe uma documentação com achados e cronologia.

## Como chegou a webshell ao servidor?

Os caminhos típicos são plugins ou extensões desatualizados, uploads de ficheiros inseguros, credenciais roubadas e vulnerabilidades no software do servidor. Desde a publicação do PHP2Shell, acresce outra possibilidade: o PHP sem as correções das versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 pode ser usado de forma abusiva, à distância, para executar código. Não existem indicadores de comprometimento confirmados a este respeito; a deteção baseia-se no comportamento. Se a entrada no seu caso foi pelo PHP2Shell ou por outro caminho, só se pode deduzir dos vestígios, e indicamos o que está comprovado e o que é suposição. Como os registos ajudam nisso, mostra-o [Analisar os registos do servidor web](https://phpsos.de/pt/ratgeber/logfiles-auswerten/).

Um patch não remove uma webshell existente. Também a proteção contra futuros achados faz parte do trabalho: [Proibir a execução de PHP em pastas de uploads](https://phpsos.de/pt/blog/php-in-uploads-verbieten/) evita muitos casos. Considere ainda os [limites dos scanners de malware](https://phpsos.de/pt/blog/grenzen-von-malware-scannern/): uma análise sem achados não é um sinal de fim de alerta.

Se precisar de saber exatamente o que aconteceu, por exemplo para o segurador ou as autoridades, uma [perícia forense informática](https://phpsos.de/pt/leistungen/it-forensik/) pode fazer sentido.

## E se a webshell voltar depois de apagada?

Isto acontece com frequência e tem, em regra, duas razões. Ou existe pelo menos mais um backdoor que volta a criar o ficheiro encontrado, ou a porta de entrada continua aberta e o atacante simplesmente volta. Nenhuma das duas se resolve apagando repetidamente. Por isso procuramos o conjunto das alterações: ficheiros novos e alterados, entradas na base de dados e na configuração, tarefas agendadas, contas. Uma [lista dos ficheiros alterados recentemente](https://phpsos.de/pt/blog/geaenderte-dateien-finden/) é um bom começo, mas não substitui a verificação por especialistas.

## O que nos deve enviar

- caminho e nome do ficheiro, se possível como cópia com marcas de data e hora (acordamos a forma de entrega)
- excertos dos registos de acesso em torno deste ficheiro, se tiver acesso
- tipo de servidor, fornecedor de alojamento, versão do PHP e modo de operação, se forem conhecidos
- que sites e aplicações correm no servidor
- quando foram feitas por último atualizações, uploads ou alterações

## Porquê a PHP SOS

Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Um interlocutor conduz-o ao longo do incidente. Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa, documentamos cada passo e não fazemos promessas que ninguém possa cumprir. Ficamos até o incidente estar encerrado e documentado.

## Está afetado? Ligue-nos. Nós ajudamos.

Uma webshell encontrada é um sinal de alerta que deve levar a sério. Contacte-nos agora, por chamada ou WhatsApp, e assumimos o caso desde a primeira mensagem. [Comunicar já uma emergência](https://phpsos.de/pt/notfall/)


## Perguntas frequentes

**Encontrei uma webshell. Posso simplesmente apagar o ficheiro?**  
Por favor, não como primeira medida. O ficheiro mostra quando e com que meios o atacante chegou. Preserve-o primeiro, com as marcas de data e hora e o proprietário; depois é removido de forma dirigida. Quem apenas apaga deixa, na maioria das vezes, outros acessos para trás.

**Devo abrir o ficheiro suspeito no navegador para ver o que faz?**  
Não. Aceder-lhe pode executar o código malicioso e apagar mais vestígios. Verifique o ficheiro apenas em modo de leitura e, de preferência, numa cópia.

**Um scanner de malware basta para encontrar todas as webshells?**  
Não de forma fiável. Os scanners reconhecem padrões conhecidos, mas as webshells ofuscadas ou construídas de novo escapam-lhes. Uma análise limpa não prova que já não há nada.

**Como sei há quanto tempo a webshell está no servidor?**  
Dão indícios a data de alteração, os registos de acesso e de erros e comparações com outros ficheiros novos. As marcas de data e hora, porém, podem ser falsificadas. Por isso avaliamos várias fontes e indicamos o que está comprovado e o que é suposição.

**Tenho de comunicar o achado?**  
Assim que dados pessoais possam estar afetados, pode ser necessária uma notificação à autoridade de controlo. Sobre isso aconselham os encarregados da proteção de dados ou os advogados; nós fornecemos os factos técnicos.

## Fontes

- [BSI: Gabinete Federal Alemão para a Segurança da Informação](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [RGPD Art. 33: notificação à autoridade de controlo](https://dsgvo-gesetz.de/art-33-dsgvo/)