A equipa de segurança do PHP anunciou a publicação, hoje, quarta-feira, 21 de outubro de 2026, de atualizações de emergência para corrigir duas vulnerabilidades consideradas críticas. A publicação está agendada para as 14h00 UTC, ou seja, às 15h00 em Portugal continental e na Madeira e às 14h00 nos Açores. A CpC: Cidadãos pela Cibersegurança recomenda a todos os responsáveis por sítios e aplicações web que preparem desde já a instalação destas correções.

Porque é que este alerta é importante?

O PHP é uma das linguagens mais utilizadas na web. Está na base de sistemas de gestão de conteúdos como o WordPress, de muitas lojas online e de inúmeras aplicações desenvolvidas por medida. Em Portugal, isto inclui os sítios de câmaras municipais, juntas de freguesia, escolas, associações, pequenas empresas e comércio eletrónico, muitos deles mantidos com recursos técnicos limitados.

Segundo a imprensa especializada, as duas falhas permitirão a execução remota de código. Na prática, isto pode significar que um atacante consegue executar instruções no servidor sem autorização. É o tipo de vulnerabilidade com maior potencial de dano: pode levar à alteração de conteúdos, ao roubo de dados pessoais de utilizadores ou à utilização do servidor para outros ataques.

O que se sabemos sobre estas vulnerabilidades críticas PHP ?

A equipa de desenvolvimento PHP atribuiu a cada vulnerabilidade uma pontuação de 9,2 na escala CVSS v4.0, o que corresponde a uma gravidade crítica. Não divulgou ainda pormenores técnicos, versões afetadas nem as versões que trarão a correção. Indicou, contudo, que poderá antecipar a publicação se os detalhes se tornarem públicos ou se surgirem indícios de exploração ativa.

A antecipação do aviso terá sido motivada por uma fuga de informação. As vulnerabilidades estavam sob embargo, isto é, sob divulgação coordenada e confidencial. Segundo a BleepingComputer (https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/) as falhas são reais e identificou-as como CVE-2026-109618 e CVE-2026-109619.

Segundo a watchTowr (https://watchtowr.com/intelligence/php-cve-2026-109618-faq/), as falhas afetarão as versões 5, 6, 7 e 8 do PHP. Se se confirmar que versões antigas estão afetadas, o problema será particularmente grave para quem ainda as utiliza. As versões 5 e 7 do PHP, bem como as versões 8.0 e 8.1, já não recebem atualizações de segurança. Na ronda de segurança de julho de 2026, o PHP publicou correções apenas para os ramos 8.5, 8.4, 8.3 e 8.2. Quem mantenha servidores com versões fora de suporte não deverá esperar receber uma correção oficial e terá de migrar para uma versão suportada.


O risco da exploração automatizada por agentes de IA e das presenças ocultas

Uma vulnerabilidade cuja existência já é conhecida torna-se um alvo prioritário. Isto é assim mesmo antes de os detalhes técnicos serem públicos, e mais ainda quando as correções forem publicadas. A comparação entre o código antigo e o código corrigido permite reconstruir a falha. Este trabalho, que antes exigia dias de análise especializada, pode hoje ser substancialmente acelerado com recurso a ferramentas e agentes de inteligência artificial. Estes agentes são também capazes de sondar a internet de forma automatizada e em grande escala, à procura de servidores vulneráveis.

Não há, até ao momento, confirmação de exploração ativa. Ainda assim, é prudente admitir que a janela entre a publicação das correções e o início de tentativas de exploração poderá medir-se em horas e não em dias. Um ataque bem-sucedido pode não deixar sinais visíveis imediatos. É prática corrente os atacantes instalarem acessos ocultos, conhecidos como webshells ou portas traseiras, que permanecem inativos para serem utilizados mais tarde. Esses acessos sobrevivem à atualização do PHP. Por isso, atualizar é necessário, mas pode não ser suficiente: quem demorar a aplicar as correções deverá verificar também se o sistema não foi entretanto comprometido.

O que é que os administradores de sistemas devem fazer HOJE (ASAP)?

1. Antes da publicação, convém fazer o levantamento de todos os servidores e serviços que utilizam PHP e verificar a versão instalada. Isto inclui alojamentos partilhados, servidores próprios, contentores e ambientes de teste esquecidos. 2. 2. Garantir cópias de segurança recentes e testadas e reservar uma janela de manutenção para esta tarde.

3. Logo que as atualizações estejam publicadas, devem ser instaladas com a maior brevidade possível. Isto pode fazer-se através do gestor de pacotes da distribuição, da imagem de contentor atualizada ou do painel do fornecedor de alojamento.

4. Nos dias seguintes, recomenda-se vigiar os registos do servidor para detetar comportamentos anómalos.

5. Quem utiliza alojamento partilhado ou gerido deve contactar o fornecedor e confirmar quando e como a atualização será aplicada. Não se deve presumir que é automática. As associações, coletividades e pequenas entidades que dependem de um técnico externo ou voluntário devem fazer-lhe chegar este alerta hoje.

Uma nota para as entidades abrangidas pela NIS2

1. As entidades públicas e privadas sujeitas ao regime jurídico da segurança do ciberespaço e à Diretiva NIS2 devem ter presente que uma eventual exploração bem-sucedida destas falhas poderá configurar um incidente com dever de notificação ao CERT.PT. Caberá a cada entidade avaliar o seu enquadramento. Uma atuação preventiva hoje é, em qualquer caso, preferível a uma notificação amanhã.

Fonte principal:
https://www.openwall.com/lists/oss-security/2026/07/30/29