Em Resumo:
- Foram identificadas duas vulnerabilidades críticas no próprio PHP (CVE-2026-109618 e CVE-2026-109619), com pontuação de 9.2 em 10.
- A correção oficial será publicada hoje, 21 de outubro, às 15:00 (hora de Lisboa).
- Os alojamentos partilhados da Site.pt já têm uma proteção provisória ativa e aplicaremos as correções assim que estiverem disponíveis.
- Se o seu serviço é gerido pela Site.pt, não precisa de fazer nada de imediato. Recomendamos apenas que acompanhe o funcionamento do seu website após a intervenção.
Ao final do dia 20 de outubro de 2026, a equipa de segurança do PHP anunciou uma atualização de segurança urgente para corrigir duas vulnerabilidades críticas. Conhecidas informalmente como PHP2Shell, estas falhas poderão permitir a execução remota de código (RCE) em servidores vulneráveis. A correção oficial está agendada para hoje, 21 de outubro de 2026, às 15:00 de Lisboa (14:00 UTC).
Neste artigo resumimos o que se sabe até ao momento e explicamos as medidas que a Site.pt está a tomar para proteger os serviços dos nossos clientes.
O que são as vulnerabilidades PHP2Shell
As duas falhas estão identificadas como CVE-2026-109618 e CVE-2026-109619 e têm uma pontuação de 9.2 em 10 na escala CVSS v4.0, o que as classifica como críticas. O nome PHP2Shell é utilizado pela comunidade de segurança e não é uma designação oficial do projeto PHP.
Este caso é particularmente sensível porque parte da informação sobre as falhas foi divulgada antes de a correção estar pronta. A empresa de segurança watchTowr confirmou que as vulnerabilidades são reais e afirma ter conseguido reproduzir uma delas.
Segundo o aviso de segurança 2026-018 do CERT-EU, as vulnerabilidades poderão permitir execução remota de código sem autenticação, ou seja, sem que o atacante precise de uma conta no sistema. Um ataque bem-sucedido poderá permitir executar comandos no servidor com as permissões do processo PHP, com consequências como:
- roubo de dados;
- instalação de ferramentas maliciosas;
- alteração de páginas web;
- comprometimento de outros componentes do servidor.
Que versões e aplicações podem ser afetadas
De acordo com a informação disponível, as vulnerabilidades poderão afetar todas as versões de PHP desde a versão 5. A lista exata de versões afetadas só será confirmada com a publicação oficial das correções.
O PHP está na base de muitas plataformas, como WordPress, Drupal, Joomla, Magento, Laravel ou phpBB. Como o problema está no próprio PHP e não numa aplicação específica, atualizar o WordPress, os plugins ou o tema não resolve esta vulnerabilidade: a correção tem de ser aplicada ao nível do servidor.
Isto não significa que todas as instalações estejam vulneráveis. O risco depende da versão de PHP, da configuração do servidor e das condições necessárias para explorar as falhas.
Versões antigas do PHP representam um risco acrescido
Atualmente, apenas as versões 8.2, 8.3, 8.4 e 8.5 têm suporte oficial, sendo que a 8.2 só recebe correções de segurança até 31 de dezembro de 2026. As versões 8.1 e anteriores já não têm suporte e, em princípio, não vão receber esta correção por parte do projeto PHP.
Segundo a empresa de segurança Mallory, a 20 de outubro existiam cerca de 884 mil servidores expostos à Internet com indicação de utilizarem PHP 8.1 ou anterior. Este número resulta de dados do Shodan e não significa que todos esses servidores estejam efetivamente vulneráveis, mas mostra bem a dimensão do problema.
Se o seu website ou aplicação ainda utiliza uma versão sem suporte, recomendamos que planeie, em conjunto com o seu programador, a migração para uma versão suportada.
Qual é o ponto de situação
Neste momento, a correção oficial do PHP ainda não foi publicada. Por isso, ainda não existem pacotes corrigidos para o CloudLinux (alt-php), para o cPanel (EasyApache, ea-php), para o Plesk ou para os repositórios dos sistemas operativos. Depois de o PHP publicar a correção, cada fornecedor terá de preparar os seus pacotes, o que poderá demorar algumas horas ou mais.
Até ao momento não existe confirmação pública de exploração ativa destas falhas. No entanto, o CloudLinux já reportou tentativas que correspondem a um padrão de exploração que circula publicamente, e é previsível que as tentativas de ataque aumentem logo após a publicação da correção. Por isso, estamos a tratar esta situação como prioritária.
O que a Site.pt está a fazer
Estamos a acompanhar a situação de perto e a preparar a intervenção em todos os servidores sob a nossa gestão:
- Mitigação provisória com Imunify360. Todos os alojamentos partilhados da Site.pt têm o Imunify360 com WAF (ModSecurity) ativo. O conjunto de regras 8.83, já disponível no canal Stable e aplicado automaticamente, inclui uma regra que bloqueia o exploit que circula publicamente (relacionado com o tratamento do session upload progress em pedidos multipart) e uma regra de telemetria. Trata-se de uma proteção provisória e não de uma correção completa, já que o problema é mais abrangente.
- Aplicação das correções. Assim que os pacotes corrigidos forem disponibilizados pelo CloudLinux, pelo cPanel (EasyApache), pelo Plesk ou pelos repositórios do sistema operativo, iremos aplicá-los nos servidores, dando prioridade aos sistemas mais expostos, às lojas online e às aplicações que tratam informação sensível.
- Monitorização ativa. Estamos a monitorizar os servidores para detetar tentativas de ataque e confirmar que não existem compromissos.
- Validação após a intervenção. Depois de aplicadas as correções, iremos validar que todos os serviços continuam a funcionar normalmente.
Tem um VPS ou servidor dedicado gerido por si?
Se a gestão do servidor é da sua responsabilidade, recomendamos que:
- identifique as versões de PHP em utilização (a versão usada pelo website, por exemplo através do PHP-FPM, pode ser diferente da que aparece na linha de comandos);
- se prepare para aplicar as atualizações assim que o seu painel (cPanel, Plesk) ou sistema operativo as disponibilize, reiniciando depois os serviços PHP;
- caso não consiga atualizar rapidamente, avalie isolar temporariamente as aplicações expostas à Internet, como recomenda o CERT-EU.
Se precisar de ajuda, a nossa equipa está disponível através de ticket de suporte.
Depois da intervenção: o que deve fazer
Como cada website e aplicação tem requisitos e compatibilidades diferentes, recomendamos que, após a intervenção, verifique o funcionamento do seu website, loja online e restantes serviços, e que nos reporte de imediato qualquer anomalia através de um ticket de suporte. Assim poderemos analisar e atuar com a maior brevidade.
Iremos atualizar este artigo à medida que houver novidades.
Se tiver dúvidas sobre o seu serviço, contacte a nossa equipa de suporte através de um ticket no Centro de Apoio ao Cliente.
Atualização de 22/10/2026, 08:45 (hora de Lisboa)
Em Resumo (atualizado):
A correção oficial do PHP foi publicada a 21 de outubro e o patch de segurança já foi aplicado em todos os alojamentos partilhados, VPS e servidores dedicados sob a nossa gestão, com cPanel, com Plesk e sem painel de controlo.
No CloudLinux, a correção está disponível até à versão PHP 5.2.
Errata e ponto de situação
Este artigo foi redigido antes da publicação da correção oficial do PHP, pelo que as secções “Qual é o ponto de situação” e “O que a Site.pt está a fazer” se encontram desatualizadas. Entretanto, a correção oficial foi publicada a 21 de outubro de 2026, os fornecedores disponibilizaram os respetivos pacotes e o patch de segurança foi aplicado em todos os alojamentos partilhados, VPS e servidores dedicados geridos pela Site.pt, quer com cPanel (CloudLinux e EasyApache), quer com Plesk (Plesk-PHP e Cloudlinux), quer sem painel de controlo (PHP via repositórios do sistema operativo).Os serviços PHP associados foram reiniciados para garantir que as versões corrigidas se encontram efetivamente em execução. O Imunify360, com o ruleset 8.83, continua ativo como camada de proteção complementar em todos os alojamentos Web e WordPress, bem como em VPSs e dedicados com painel de controlo.
Versões de PHP com correção disponível
A equipa do CloudLinux concluiu o backport do patch até à versão PHP 5.2, pelo que a correção se encontra disponível em todas as versões de PHP (alt-php) suportadas pelo CloudLinux, desde a 5.2 até à mais recente.
Em servidores sem painel de controlo, com PHP instalado através dos repositórios do sistema operativo, as versões 8.1 e anteriores já não recebem atualizações diretamente do projeto PHP, pelo que a correção depende do que for disponibilizado pelo repositório da respetiva distribuição, podendo não existir para todas as versões, sendo que o recomendado é garantir que a aplicação corre numa versão suportada pelo projeto PHP.
O que deve fazer
Se tem alojamento partilhado, VPS ou servidor dedicado com painel de controlo (cPanel ou Plesk) com CloudLinux, não precisa de fazer nada, independentemente da versão de PHP em utilização. Recomendamos apenas que verifique o funcionamento do seu website e nos reporte qualquer anomalia através de um ticket de suporte.
Se tem um servidor sem painel de controlo com PHP anterior à versão 8.2, deve atualizar a versão de PHP o mais rapidamente possível, pois poderá não existir correção disponível para essa versão. Recomendamos que o faça em conjunto com o seu programador e, caso necessário, com suporte por parte da nossa equipa técnica.
Se tem um VPS ou servidor dedicado gerido por si, aplique as atualizações disponibilizadas pelo seu painel ou sistema operativo e reinicie os serviços PHP.
Fontes
- CERT-EU, Security Advisory 2026-018
- PHP, Upcoming Critical PHP Security Release
- CloudLinux, página de estado do incidente
- Mallory, Rapid Response: PHP’s Critical RCE Fixes
Não é cliente Site.pt e não tem a certeza de que o seu fornecedor está a tratar desta vulnerabilidade? Contacte a nossa equipa de especialistas. Avaliamos o seu website, atualizamos o PHP para uma versão suportada e, se fizer sentido, migramos o seu alojamento para servidores geridos e monitorizados em Portugal.
