PHP2Shell: falhas críticas no PHP ameaçam websites e lojas online. Saiba como proteger o seu negócio

Precisa de ajuda com a atualização PHP?

Indique a ligação do seu site e o que foi comunicado pelo alojamento. A avaliação inicial não tem custo nem compromisso. O trabalho necessário, incluindo correções ou migração, é orçamentado após análise.

Pedir avaliação do meu site Falar por WhatsApp

Ver suporte e manutenção →

Publicado em 22 de outubro de 2026 | Por Equipa V3DSI | Cibersegurança

O seu website pode ter uma falha de segurança sem que se aperceba? A descoberta do PHP2Shell, um conjunto de vulnerabilidades críticas no PHP, voltou a colocar a segurança de milhões de websites no centro das atenções.

No dia 21 de outubro de 2026, foram divulgadas duas falhas que podem permitir a execução de código malicioso em servidores vulneráveis, mesmo sem o atacante conhecer uma palavra-passe.

O problema pode afetar websites WordPress, lojas WooCommerce e aplicações desenvolvidas com PHP, incluindo soluções empresariais.

Mas há uma solução: atualizar o PHP para uma versão corrigida e confirmar que o website continua a funcionar corretamente.

Neste artigo, a V3DSI explica o que aconteceu, como verificar se o seu site está protegido e quais os cuidados a ter ao realizar atualizações. Mostramos também como os nossos serviços de manutenção, upgrades e help desk podem ajudar a manter o seu negócio online.

O que é o PHP2Shell e porque está a preocupar a Internet?

PHP2Shell é o nome atribuído a um conjunto de vulnerabilidades de segurança encontradas no motor PHP, uma das tecnologias mais utilizadas no desenvolvimento de websites e aplicações web.

As falhas foram identificadas pela equipa de investigação da Wiz e tornadas públicas a 21 de outubro de 2026, após um processo de comunicação e correção coordenado com o projeto PHP e outras organizações.

As duas vulnerabilidades receberam os identificadores:

CVE-2026-109618: relacionada com problemas de gestão de memória durante erros críticos de execução.
CVE-2026-109619: associada à utilização de estados internos que podem permanecer incorretamente disponíveis após a libertação da memória.

Ambas receberam uma classificação de gravidade de 9,2 em 10 na escala CVSS v4.0.

A investigação demonstrou a possibilidade de executar código remotamente, sem autenticação, em determinadas instalações vulneráveis de WordPress, Drupal e Joomla.

Também foi demonstrada a possibilidade de aceder indevidamente a informações presentes na memória dos processos PHP.

O aspeto mais preocupante é que a vulnerabilidade está no próprio PHP, não sendo necessário existir uma falha num plugin ou no código do website para que este fique potencialmente exposto.

Segundo a Wiz, os problemas existiam no código PHP há vários anos. O recurso a ferramentas avançadas de Inteligência Artificial contribuiu para identificar e demonstrar formas de exploração que anteriormente eram consideradas especialmente complexas.

O que pode acontecer a um website vulnerável?

Imagine uma loja online que recebe encomendas diariamente ou um website empresarial que utiliza formulários para captar potenciais clientes.

Se o servidor estiver vulnerável e ocorrer um ataque bem-sucedido, as consequências podem ser significativas.

Dependendo das permissões e da configuração do servidor, um atacante poderá conseguir:

Aceder a dados confidenciais, incluindo credenciais, tokens ou chaves de acesso.
Alterar conteúdos do website, prejudicando a imagem da empresa.
Instalar código malicioso, criando novas possibilidades de acesso não autorizado.
Interromper o funcionamento da aplicação, afetando vendas e contactos.
Comprometer informações de clientes, com possíveis consequências legais e comerciais.

Isto não significa que todos os websites com PHP estejam comprometidos.

O risco depende da versão instalada, da configuração do alojamento e das medidas de segurança existentes.

No entanto, ignorar as atualizações pode deixar a porta aberta a problemas que seriam evitáveis.

Que plataformas podem estar em risco?

O PHP é utilizado por diversas plataformas populares, entre as quais:

Plataforma	Exemplos de utilização
WordPress	Websites empresariais e blogs
WooCommerce	Lojas online
PrestaShop	Comércio eletrónico
Drupal e Joomla	Portais e websites institucionais
Laravel	Aplicações web e sistemas empresariais
PHP personalizado	Plataformas e aplicações desenvolvidas à medida

A presença de uma destas tecnologias não significa, por si só, que o sistema esteja vulnerável. O fundamental é verificar se o ambiente PHP recebeu as correções necessárias.

Quais são as versões PHP corrigidas?

A equipa oficial do PHP disponibilizou, a 21 de outubro de 2026, as seguintes atualizações de segurança:

Ramo PHP	Versão corrigida
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Estas versões incluem as correções oficiais das vulnerabilidades PHP2Shell.

As versões PHP 8.1 e anteriores deixaram de receber atualizações de segurança diretamente do projeto PHP. Alguns fornecedores de distribuições Linux e serviços empresariais disponibilizam correções adaptadas a versões mais antigas, pelo que essa situação deve ser confirmada individualmente.

Importa também referir que o PHP 8.2 chega ao fim do seu suporte oficial em 31 de dezembro de 2026. Mesmo com a atualização de segurança atual, é aconselhável planear a migração para uma versão com suporte mais prolongado.

Atenção: nem sempre a solução é simplesmente selecionar a versão PHP numericamente mais recente. Primeiro, é necessário garantir que o website, os plugins e as integrações são compatíveis.

Uma atualização feita sem preparação pode resolver um problema de segurança e criar outro de funcionamento.

Como verificar se o seu site WordPress está protegido?

Se utiliza WordPress, pode começar por consultar a versão PHP instalada.

1. Consulte a versão PHP no WordPress

Entre na área de administração do seu website e aceda a:

Ferramentas → Saúde do site → Informações → Servidor

Procure a informação relativa à versão PHP.

Compare-a com as versões corrigidas apresentadas anteriormente.

Caso o seu fornecedor utilize correções de segurança próprias, a versão apresentada pode não ser suficiente para determinar o estado de proteção. Confirme essa informação com o alojamento.

2. Contacte o fornecedor de alojamento

Em muitos serviços de alojamento partilhado, a gestão das atualizações PHP é responsabilidade do fornecedor.

Pergunte se já foram aplicadas as correções das vulnerabilidades CVE-2026-109618 e CVE-2026-109619.

Se utiliza um VPS ou um servidor dedicado, poderá ser necessário realizar a atualização diretamente ou solicitar a intervenção de um técnico.

3. Faça um backup antes de alterar configurações

Antes de qualquer atualização importante, confirme que existe uma cópia de segurança recente e recuperável.

O backup deverá incluir, conforme a aplicação:

Ficheiros do website.
Base de dados.
Configurações relevantes.
Informação necessária para restaurar o funcionamento.

Ter um backup não é suficiente: é importante saber se pode ser restaurado.

4. Atualize o PHP e teste as funcionalidades

Depois de verificar a compatibilidade, aplique a versão corrigida do PHP.

Sempre que possível, utilize um ambiente de testes antes de atualizar um website em produção.

Após a atualização, confirme o funcionamento dos formulários, autenticação, páginas principais e integrações.

Numa loja online, é especialmente importante testar o carrinho, o checkout, os pagamentos e as notificações de encomenda.

5. Mantenha a manutenção e a monitorização em dia

A correção do PHP2Shell não substitui os restantes cuidados de segurança.

Continue a atualizar WordPress, plugins e temas, monitorize erros e alterações suspeitas e mantenha cópias de segurança regulares.

Não tem conhecimentos técnicos para realizar estas verificações? A V3DSI pode ajudar a avaliar o seu website, identificar necessidades de atualização e preparar uma intervenção adequada.

Pedir uma análise inicial do meu site à V3DSI

Utiliza a Hostinger? Conheça a atualização de 22 de outubro

A Hostinger, um dos fornecedores de alojamento utilizados por muitos websites em Portugal, publicou um comunicado sobre as vulnerabilidades PHP2Shell.

Segundo a informação oficial, a empresa realizou testes aos seus ambientes, implementou proteções adicionais e procedeu à atualização do PHP nos seus servidores.

Às 06h44 UTC de 22 de outubro de 2026, a Hostinger comunicou que as atualizações estavam concluídas em todos os seus servidores de alojamento gerido.

A empresa indicou ainda que não era necessária uma intervenção dos clientes relativamente à correção do PHP2Shell nesses ambientes.

Esta indicação refere-se ao alojamento gerido (Web Hosting, Agency Hosting e cPanel Hosting) e não aos VPS. Segundo a Hostinger, a correção pode manter o número de versão PHP apresentado. Se a informação do painel levantar dúvidas, confirme com o fornecedor se ambas as correções estão ativas.

Esta informação é positiva, mas não elimina a importância de manter o WordPress e os respetivos componentes atualizados.

Se utiliza outro fornecedor, consulte os comunicados oficiais desse serviço ou contacte o suporte técnico.

Pode acompanhar o comunicado oficial da Hostinger.

E se não conseguir atualizar o PHP?

Existem situações em que atualizar o PHP exige adaptações ao código, aos plugins ou às integrações.

Isto acontece sobretudo em websites antigos e aplicações desenvolvidas à medida.

O projeto PHP publicou algumas medidas temporárias para reduzir a exposição a determinados métodos de exploração. No entanto, essas medidas não oferecem proteção completa.

A atualização do PHP para uma versão corrigida continua a ser a solução recomendada.

Em sistemas sem correção disponível e com risco elevado, poderá ser necessário restringir temporariamente o acesso à aplicação enquanto se prepara a atualização.

É precisamente nestas situações que um acompanhamento técnico pode fazer a diferença: avaliar dependências, planear alterações, testar compatibilidades e reduzir o risco de interrupção do negócio.

O seu website está desatualizado? O verdadeiro risco pode ir além do PHP2Shell

Muitas empresas investem na criação do website e acabam por não lhe dar a atenção necessária nos meses e anos seguintes.

Com o tempo, surgem novas versões do PHP, do WordPress, dos plugins, das integrações de pagamento e das tecnologias utilizadas.

Algumas alterações introduzem funcionalidades e melhorias de desempenho. Outras corrigem vulnerabilidades que podem comprometer a segurança.

É também comum encontrar websites que apresentam problemas como:

Formulários de contacto que deixaram de enviar mensagens.
Erros depois de atualizar plugins.
Lojas online com problemas no checkout.
Lentidão e incompatibilidades com novas versões PHP.
Funcionalidades que deixaram de trabalhar corretamente.
Falta de backups recentes ou manutenção regular.

Para uma empresa, estes problemas representam oportunidades de negócio perdidas, clientes insatisfeitos e tempo desperdiçado.

A melhor abordagem não é esperar por uma falha grave para procurar ajuda, mas estabelecer um processo de manutenção e evolução contínua.

V3DSI: manutenção, upgrades e help desk para websites, lojas online e aplicações

Na V3DSI, ajudamos empresas e profissionais a desenvolver, melhorar e acompanhar as suas soluções digitais.

Além da criação de websites, lojas online e aplicações à medida, disponibilizamos acompanhamento técnico para projetos que já estão em funcionamento.

O nosso objetivo é simples: ajudar a reduzir problemas técnicos, melhorar o funcionamento das plataformas e permitir que os nossos clientes se concentrem no seu negócio.

1. Manutenção de websites e lojas online

Um website precisa de cuidados regulares para continuar atualizado e funcional.

Os nossos serviços de manutenção podem abranger:

Atualizações do WordPress e dos componentes instalados.
Verificação das versões PHP e compatibilidades.
Gestão e verificação de backups.
Verificações técnicas periódicas.
Acompanhamento após atualizações.
Identificação de problemas que necessitam de intervenção.

Dispomos de um plano de entrada para websites simples, desde 29 €/mês, com atualizações, backup, verificação básica e relatório simples.

Para websites empresariais mais complexos e lojas online, apresentamos propostas ajustadas à dimensão e às necessidades de cada projeto.

Conheça os serviços e planos de manutenção da V3DSI

2. Upgrade e modernização de websites e aplicações

O seu website utiliza uma versão antiga do PHP? Tem plugins que já não são compatíveis? A aplicação funciona, mas precisa de melhorias?

Nem sempre é necessário criar tudo novamente.

A V3DSI pode analisar a possibilidade de modernizar a solução existente, através de trabalhos como:

Upgrade de versões PHP.
Atualização de WordPress e WooCommerce.
Correção de incompatibilidades.
Modernização de funcionalidades antigas.
Melhorias de velocidade e desempenho.
Adaptação de integrações e componentes.
Evolução de aplicações web desenvolvidas à medida.

O âmbito das alterações é definido após uma avaliação técnica, tendo em conta as necessidades do projeto e a sua tecnologia.

3. Help desk e suporte técnico para problemas do dia a dia

O seu website deixou de funcionar? Um formulário não envia mensagens? A loja apresenta erros? Uma atualização provocou uma incompatibilidade?

Nem todos os problemas exigem um projeto de desenvolvimento completo.

Através do nosso serviço de help desk e suporte técnico, podemos analisar pedidos de assistência relacionados com websites, lojas online e aplicações web.

Entre os problemas que podemos ajudar a diagnosticar encontram-se:

Erros e dificuldades de funcionamento do website.
Problemas em formulários ou notificações.
Conflitos entre plugins e extensões.
Dificuldades após atualizações.
Erros técnicos em lojas online.
Falhas em funcionalidades ou integrações.
Necessidade de pequenas correções e melhorias.

A assistência pode ser definida através de um serviço pontual ou integrada num plano de acompanhamento, conforme a natureza e a complexidade dos pedidos.

Os canais de apoio, tempos de resposta e condições são definidos na proposta. Não se trata de um serviço de disponibilidade permanente.

O site não foi criado pela V3DSI? Podemos ajudar na mesma.

Não precisa de ter um website desenvolvido por nós para solicitar assistência.

Se já possui um site WordPress, uma loja WooCommerce ou uma aplicação web, podemos analisar o estado do projeto e identificar as possibilidades de manutenção, atualização ou suporte.

Começamos por compreender o problema e definir os próximos passos.

Falar com a equipa V3DSI e pedir uma análise sem compromisso

Perguntas frequentes sobre PHP2Shell e segurança de websites

O que é o PHP2Shell?

PHP2Shell é o nome dado a um conjunto de vulnerabilidades críticas no PHP divulgadas em outubro de 2026. As falhas podem permitir o acesso indevido à memória do servidor e, em determinadas condições, a execução remota de código sem autenticação.

Como saber se o meu WordPress está vulnerável?

Verifique a versão PHP em Ferramentas → Saúde do site → Informações → Servidor. Confirme depois com o alojamento se as correções das vulnerabilidades CVE-2026-109618 e CVE-2026-109619 estão instaladas.

Atualizar o WordPress resolve o PHP2Shell?

Não. As falhas estão no próprio PHP. É necessário aplicar as atualizações PHP disponibilizadas pelo projeto ou pelo fornecedor de alojamento.

Ter um plugin de segurança WordPress é suficiente?

Não. Plugins de segurança e firewalls podem reduzir alguns riscos, mas não substituem uma versão PHP corrigida.

Posso atualizar o PHP sem perder o meu website?

Normalmente é possível atualizar o PHP preservando os conteúdos. Contudo, podem existir incompatibilidades com plugins, temas ou código antigo. Por isso, deve realizar um backup e verificar a compatibilidade antes da atualização.

Quanto custa a manutenção de um website?

Na V3DSI, o plano Essencial para sites simples começa nos 29 €/mês. Planos para lojas online, aplicações e necessidades adicionais são preparados sob orçamento.

A V3DSI presta assistência a websites desenvolvidos por outras empresas?

Sim. Podemos avaliar websites, lojas online e aplicações existentes, independentemente de quem os desenvolveu, e propor manutenção, upgrades ou assistência técnica conforme as necessidades.

Conclusão: prevenir problemas é proteger o seu negócio

O PHP2Shell demonstra que mesmo tecnologias amplamente utilizadas e desenvolvidas há muitos anos podem apresentar vulnerabilidades críticas.

A melhor resposta passa por manter os sistemas atualizados, confirmar as correções de segurança e garantir que as atualizações são realizadas com os cuidados necessários.

Mas a segurança é apenas uma parte do trabalho.

Um website empresarial deve continuar funcional, rápido, atualizado e preparado para acompanhar as necessidades do negócio.

É por isso que a manutenção, os upgrades e o apoio técnico não devem ser considerados apenas quando algo deixa de funcionar.

Precisa de ajuda com o seu website ou loja online?

Na V3DSI, ajudamos a identificar problemas, planear atualizações e acompanhar as soluções digitais do seu negócio.

Quer precise de verificar uma atualização PHP, resolver um erro no WordPress, melhorar o desempenho de uma loja online ou obter apoio técnico para uma aplicação, fale connosco.

Peça uma análise inicial, sem custo nem compromisso.

Contactar a V3DSI — Quero ajuda com o meu website

Conhecer os planos de manutenção e acompanhamento

Email: info@v3dsi.com

Telefone: +351 913 682 360

V3DSI — Sites, lojas online, aplicações à medida e acompanhamento técnico para o seu negócio.

Fontes oficiais e referências

Informação técnica revista em 22 de outubro de 2026. A exposição a vulnerabilidades e a adequação das medidas de proteção dependem da configuração de cada servidor e aplicação.