Italiano
English
Deutsch
Español
Français
Polski
Português
Notícias 5 min de leitura
Alerta de segurança PHP: duas vulnerabilidades críticas colocam em risco sites e servidores. Atualizações urgentes
Foram descobertos dois problemas graves de segurança que podem permitir a piratas informáticos assumir o controlo de servidores sem conhecerem qualquer palavra-passe. Foram disponibilizadas as correções oficiais: quem gere sites, lojas online e aplicações PHP deve intervir de imediato.
A 21 de outubro de 2026 foi divulgado um importante alerta de segurança informática que diz respeito ao PHP, uma das linguagens de programação mais utilizadas em todo o mundo para o desenvolvimento de sites e aplicações online.
As vulnerabilidades, identificadas como CVE-2026-109618 e CVE-2026-109619, foram classificadas como críticas e podem permitir a execução remota de código (Remote Code Execution, RCE) sem necessidade de autenticação.
Em termos práticos, um agente malicioso poderá explorar estas falhas para comprometer um servidor vulnerável, executar comandos não autorizados, aceder a informações confidenciais ou instalar software malicioso.
A gravidade da situação levou à publicação de avisos por parte de importantes organismos nacionais e internacionais de cibersegurança, entre os quais o National Cyber Security Centre (NCSC) britânico e o CERT-AGID italiano.
Que sites e aplicações estão em risco?
As vulnerabilidades afetam diretamente o PHP e não um CMS ou produto de software em particular.
Consequentemente, podem ser afetados sites e aplicações baseados em:
WordPress e WooCommerce, utilizados em sites empresariais, portais e lojas online.
PrestaShop, uma das plataformas mais difundidas para comércio eletrónico.
Joomla e Drupal, empregues na gestão de conteúdos e portais.
XenForo, software dedicado à criação de fóruns e comunidades.
Laravel e aplicações PHP personalizadas, utilizados em sistemas de gestão, plataformas empresariais e serviços online.
O problema pode também afetar infraestruturas que utilizam Apache, Nginx com PHP-FPM, LiteSpeed e outras configurações de execução de PHP.
Atenção: atualizar o WordPress, o PrestaShop ou outro CMS não é suficiente. A vulnerabilidade diz respeito ao motor PHP instalado no servidor, que tem de ser atualizado ou corrigido diretamente.
Que versões de PHP devem ser atualizadas?
A equipa oficial do PHP publicou, a 21 de outubro de 2026, quatro novas versões que corrigem as vulnerabilidades:
Ramo PHP | Versão corretiva |
|---|---|
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
As instalações que utilizam PHP 8.1 ou versões anteriores exigem igualmente especial atenção, tratando-se de ramos que já não têm suporte oficial.
Algumas distribuições Linux e alguns fornecedores de serviços podem distribuir correções de segurança através de pacotes dedicados, sem alterar necessariamente o número da versão principal. É, por isso, importante verificar a efetiva aplicação das correções (patches), em vez de se limitar a consultar o número de versão apresentado no painel de alojamento.
O risco não é apenas teórico: existem ferramentas disponíveis para explorar as vulnerabilidades
A situação é particularmente delicada porque já foram tornadas públicas ferramentas de demonstração e técnicas de exploração das vulnerabilidades.
As autoridades de cibersegurança alertaram para o risco de ataques a sistemas expostos na Internet e, em alguns casos, para notícias de tentativas de exploração já em curso.
A existência de exploits públicos aumenta a possibilidade de que até atacantes com competências técnicas limitadas tentem comprometer sistemas não atualizados.
Um servidor vulnerável poderá ser utilizado para roubar dados, comprometer sites alojados, alterar conteúdos, instalar backdoors ou realizar outras atividades maliciosas, consoante a configuração e os privilégios disponíveis.
O que devem fazer de imediato as empresas e os administradores de sites?
A prioridade é verificar a versão do PHP utilizada e assegurar que foram instaladas as correções de segurança.
É igualmente aconselhável:
Verificar todos os sites e serviços PHP, incluindo os alojados em servidores dedicados, VPS e alojamento partilhado.
Aplicar as atualizações de segurança, verificando previamente a compatibilidade das aplicações.
Controlar os registos do sistema e os acessos, para detetar eventuais atividades suspeitas.
Verificar a integridade de ficheiros, aplicações e configurações, excluindo a presença de alterações não autorizadas.
Controlar a segurança dos dados e das cópias de segurança, sobretudo na presença de informações pessoais, comerciais ou confidenciais.
É fundamental sublinhar que a instalação de uma atualização não garante que um servidor anteriormente vulnerável não tenha já sido comprometido.
Quando existam indícios de um ataque, é necessário proceder também a uma análise de segurança destinada a identificar eventuais acessos abusivos, alterações a ficheiros e mecanismos de persistência.
Leonardo Network: assistência para atualizações urgentes e verificações de segurança
Leonardo Network S.r.l. coloca à disposição as suas competências em desenvolvimento de software, administração de servidores e cibersegurança para apoiar empresas e profissionais na gestão desta emergência.
Podemos intervir em sites, lojas online, aplicações personalizadas e infraestruturas de servidores para realizar:
Verificação das vulnerabilidades e das versões de PHP instaladas.
Atualização e aplicação das correções de segurança, com controlos de compatibilidade.
Análise de servidores e aplicações potencialmente comprometidos, através de verificações técnicas e análise dos registos (logs) disponíveis.
Deteção de malware, backdoors e alterações não autorizadas.
Limpeza e recuperação dos sistemas comprometidos, de acordo com as condições encontradas.
Proteção e reforço das infraestruturas, para reduzir o risco de novos ataques.
Tem um site ou um servidor PHP? Contacte-nos de imediato.
Se não sabe que versão do PHP utiliza o seu site, não consegue aplicar as atualizações ou suspeita que o seu servidor já tenha sofrido uma violação, contacte a Leonardo Network para solicitar uma verificação técnica e uma intervenção de segurança.
Não espere que um problema de segurança se transforme numa interrupção dos serviços, numa perda de dados ou num comprometimento da infraestrutura empresarial.
