Alerta crítico de segurança em PHP: duas vulnerabilidades destacam a importância da manutenção web

Um novo alerta de segurança em PHP, tecnologia utilizada por sites e lojas online, recorda às empresas que manter os sistemas atualizados é essencial para proteger a informação e assegurar a continuidade do negócio.

A equipa de segurança do PHP anunciou uma atualização extraordinária para corrigir duas vulnerabilidades críticas, ambas classificadas com 9,2 em 10 no sistema CVSS 4.0.

O anúncio oficial de 20 de outubro prevê a publicação para 21 de outubro de 2026 às 14:00 UTC, correspondentes às 16:00 em Espanha peninsular. O PHP poderá antecipá-la se forem divulgados detalhes técnicos ou surgirem provas de exploração ativa.

O aviso antecipado permite que administradores, programadores e empresas preparem a aplicação das correções. A questão para cada organização é concreta: consegue responder quando aparece uma vulnerabilidade crítica no seu site?

O que aconteceu e porque é importante?

O PHP é amplamente utilizado no desenvolvimento de sites, lojas online e aplicações empresariais. WordPress, WooCommerce, Drupal, Joomla e PrestaShop dependem de PHP para partes fundamentais do seu funcionamento.

Em 20 de outubro, os responsáveis do PHP anunciaram duas vulnerabilidades críticas e uma atualização extraordinária. O CERT-EU também publicou um aviso que refere a possibilidade de execução remota de código, com base na informação preliminar disponível.

Uma vulnerabilidade deste tipo poderá permitir a execução de instruções maliciosas num servidor afetado, dependendo das condições concretas de exploração. Entre as consequências possíveis estão o acesso indevido a informação empresarial ou de clientes, a alteração de ficheiros, a indisponibilidade da loja, a instalação de código malicioso e o comprometimento de outros serviços na mesma infraestrutura.

O aviso prévio não incluía os detalhes técnicos definitivos nem as versões corrigidas. O PHP indicou que seriam publicados juntamente com a atualização. O anúncio não significa que todos os sites PHP tenham sido comprometidos, mas exige que as empresas identifiquem as instalações e preparem uma resposta.

Que sites devem ser analisados?

Qualquer empresa que utilize PHP deve rever a sua infraestrutura, sobretudo nas seguintes situações.

Sites institucionais em WordPress. Mesmo um site que apenas apresenta a empresa depende de um gestor de conteúdos e de componentes que podem conter vulnerabilidades.

Lojas WooCommerce e PrestaShop. Um incidente pode afetar o catálogo, a compra, o tratamento de encomendas, as integrações ou a disponibilidade do serviço.

Aplicações empresariais à medida. Portais de clientes, intranets, sistemas de gestão e aplicações ligadas por APIs também podem utilizar PHP.

Servidores com versões antigas. As versões sem suporte oficial aumentam a exposição porque novas vulnerabilidades podem deixar de receber correções.

O risco real depende das versões afetadas, da configuração e das condições de exploração confirmadas pelo fabricante. A utilização de PHP, por si só, não demonstra que uma instalação concreta seja explorável.

O que deve fazer a empresa perante o alerta?

Na Sitelicon recomendamos um procedimento organizado, com responsabilidades claras e verificação dos resultados.

1. Identificar a versão de PHP utilizada

É necessário conhecer a versão que executa efetivamente cada site ou aplicação. Utilize as ferramentas do alojamento ou acesso administrativo, evitando publicar páginas de diagnóstico com informação do servidor.

A versão predefinida na conta de alojamento pode não coincidir com a utilizada por uma aplicação específica. Confirme também se continua a receber atualizações oficiais de segurança.

2. Inventariar os sistemas expostos

A análise deve abranger mais do que a página principal. Inclua lojas online, subdomínios, aplicações internas acessíveis pela Internet, integrações e outros serviços PHP.

Um inventário atualizado permite localizar os sistemas relevantes, identificar os responsáveis e organizar a intervenção quando surge uma vulnerabilidade.

3. Preparar cópias de segurança verificadas

Antes de alterações importantes, obtenha uma cópia recente e recuperável dos ficheiros, bases de dados e configurações relevantes.

A existência de uma cópia não basta. É necessário conhecer o procedimento de restauro, verificar que funciona e garantir que os acessos e as responsabilidades estão disponíveis.

4. Aplicar as atualizações de segurança

Quando forem disponibilizadas as versões corrigidas, identifique os sistemas afetados e dê prioridade à atualização, seguindo as orientações oficiais e verificando a compatibilidade da aplicação.

Se o PHP for fornecido pelo alojamento ou por uma distribuição do sistema operativo, consulte também os respetivos avisos. A correção pode ser disponibilizada através de pacotes próprios. A decisão deve considerar o aviso aplicável ao ambiente efetivamente instalado.

5. Verificar os processos essenciais

Depois da atualização, confirme que as funcionalidades importantes continuam operacionais. Numa loja online, teste o carrinho, os pagamentos, as encomendas, as comunicações e as integrações.

A resolução da vulnerabilidade deve ser acompanhada pela validação dos processos de que dependem clientes e equipas internas.

6. Monitorizar e limitar a exposição

Quando não for possível atualizar imediatamente, avalie proteções temporárias, incluindo restrições de acesso ou isolamento dos serviços expostos, se adequado.

Reveja registos e alertas para identificar comportamentos suspeitos. As medidas temporárias precisam de um responsável e de um plano para aplicar a correção definitiva.

O problema recorrente: sites sem manutenção

É frequente investir no desenvolvimento de um site e considerar o projeto terminado após a publicação. Durante meses ou anos, pode não existir um procedimento regular de manutenção.

No entanto, um site é um sistema tecnológico em evolução. O servidor, o interpretador PHP, o gestor de conteúdos, as extensões, as bibliotecas e as integrações recebem atualizações. Com o tempo, surgem novas vulnerabilidades.

Um site pode parecer funcionar normalmente e utilizar componentes obsoletos ou apresentar riscos de segurança relevantes.

Atualizar uma instalação abandonada durante vários anos também pode exigir uma intervenção mais extensa. As incompatibilidades entre versões, extensões e código personalizado tornam o trabalho mais difícil de planear.

A manutenção preventiva permite gerir estas dependências de forma contínua e integrar segurança, estabilidade e continuidade na operação habitual.

O que deve incluir uma manutenção web profissional?

Um serviço de manutenção deve combinar prevenção, correção e acompanhamento, com um procedimento claro para comunicar incidentes.

Entre as atividades relevantes encontram-se:

• Atualizações: manter o gestor de conteúdos, extensões, código e componentes do servidor incluídos no serviço.
• Segurança: acompanhar vulnerabilidades, configurações e alertas relevantes.
• Cópias de segurança: assegurar cópias adequadas e procedimentos de recuperação.
• Monitorização: detetar interrupções e comportamentos anómalos.
• Compatibilidade: verificar que as alterações preservam as funções essenciais.
• Resposta a incidentes: definir responsáveis, procedimentos e condições de atuação.
• Evolução: adaptar a plataforma a novas necessidades técnicas e do negócio.

O contrato deve identificar as aplicações e a infraestrutura abrangidas, a frequência das tarefas e o procedimento para incidentes críticos. Isso permite compreender o trabalho incluído e os limites do serviço.

Quanto pode custar não manter um site?

O impacto não se limita à reparação técnica. Para uma loja online, horas de indisponibilidade podem significar encomendas perdidas, investimento publicitário desperdiçado e clientes que compram à concorrência.

Num site institucional, um incidente pode prejudicar a reputação, interromper a captação de contactos ou expor informação. Se estiverem envolvidos dados pessoais, será necessário avaliar as obrigações aplicáveis de notificação e outras responsabilidades.

A investigação, o restauro e a recuperação acrescentam trabalho. Um plano preventivo pode tornar os custos e as intervenções mais previsíveis do que sucessivas respostas urgentes após uma falha.

A importância de um fornecedor tecnológico que responda

Uma vulnerabilidade crítica exige conhecer a infraestrutura, identificar rapidamente os ativos afetados, avaliar o risco e aplicar as medidas adequadas.

Uma equipa de manutenção deve compreender a plataforma, as suas dependências e os procedimentos de atuação. Instalar uma atualização é uma parte dessa responsabilidade, juntamente com preparar e verificar a intervenção.

Há mais de 20 anos, a Sitelicon ajuda empresas a desenvolver e manter plataformas digitais: sites institucionais, lojas online, integrações e aplicações empresariais à medida.

Combinamos desenvolvimento, infraestrutura, manutenção e evolução tecnológica para que estas plataformas continuem estáveis e úteis para o negócio.

Quando reviu a segurança do seu site?

O alerta do PHP recorda a necessidade de um processo contínuo. A empresa deve saber que versões utiliza, se instalou as correções aplicáveis, se consegue recuperar as cópias e quem é responsável pela resposta.

Deve também conhecer o âmbito do contrato de manutenção e confirmar se abrange vulnerabilidades críticas e a infraestrutura relevante.

Se estas respostas não forem claras, reveja a plataforma e defina um plano adequado. A Sitelicon pode ajudar a avaliar o estado técnico, identificar riscos e estabelecer prioridades.

Conheça os serviços de manutenção web, AWS, cloud e sistemas e desenvolvimento WordPress, ou contacte a Sitelicon para analisar a sua plataforma.