Falha de segurança crítica no PHP (PHP2Shell): medidas tomadas e ponto de situação
A 21 de outubro de 2026, o projeto PHP publicou correções urgentes para duas vulnerabilidades críticas, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas como “PHP2Shell”. Ambas têm classificação 9.2 em 10 na escala de gravidade (CVSS v4.0) e permitem a um atacante executar código remotamente num servidor, sem qualquer autenticação. Havia já registo de ataques ativos antes da publicação das correções.
A falha está no próprio PHP, e não em nenhuma aplicação concreta. Por isso, afeta potencialmente todos os websites desenvolvidos em PHP, incluindo WordPress, PrestaShop, WooCommerce, OpenCart e aplicações à medida.
O que fizemos
Assim que tivemos conhecimento da falha, suspendemos de forma preventiva o serviço web nos nossos servidores de alojamento partilhado. Esta medida deixou os websites temporariamente indisponíveis, mas impediu que fossem explorados enquanto não existia correção disponível.
Assim que as correções foram publicadas:
- Atualizámos todas as versões de PHP suportadas (8.2, 8.3, 8.4 e 8.5) para as versões corrigidas.
- Aplicámos as correções disponibilizadas para as versões PHP 7.4, 8.0 e 8.1, que já não têm suporte oficial do projeto PHP.
- Atualizámos o PHP do sistema operativo de cada servidor.
- Reiniciámos todos os serviços e confirmámos que nenhum processo continua a usar código vulnerável.
Ponto de situação atual
Os websites que utilizam PHP 7.4 ou superior estão protegidos e estão a ser reativados.
Os websites que utilizam PHP 5.6, 7.0, 7.1, 7.2 ou 7.3 continuam temporariamente suspensos. Estas versões estão descontinuadas há vários anos e a correção ainda está a ser validada pelo fornecedor do nosso painel de alojamento. Reativaremos estes websites assim que tivermos confirmação de que estão protegidos.
O que recomendamos aos nossos clientes
- Se o seu website usa PHP 7.3 ou inferior: recomendamos vivamente a migração para PHP 8.2 ou superior. Para além desta falha, estas versões não recebem atualizações de segurança há muito tempo. A nossa equipa está disponível para avaliar a compatibilidade do seu website e ajudar na migração.
- Mantenha o seu CMS e os respetivos módulos/plugins atualizados. Versões recentes do WordPress, PrestaShop e outras plataformas são compatíveis com as versões atuais do PHP.
- Se notar algum comportamento anómalo no seu website depois da reativação, contacte-nos.
Lamentamos o incómodo causado pela indisponibilidade temporária. Optámos por proteger os dados e os websites dos nossos clientes em primeiro lugar.
Para qualquer questão, contacte o nosso suporte através da área de cliente.