O alarme soou esta terça-feira. Foram descobertas duas vulnerabilidades críticas no PHP, uma linguagem de programação usada em múltiplos sites. As três letras são sinónimo de um dos pilares da internet, assegurando o funcionamento de 70% dos sites globais.

No alerta feito pela equipa de segurança do PHP foi explicado que as vulnerabilidades, batizadas de “php2shell”, permitem “executar código de forma remota”. Além disso, têm a particularidade de estar na própria linguagem e não numa atualização específica. Assim, um ataque que consiga explorá-las abre a porta a consequências como sistemas comprometidos, dados expostos, interrupção de serviço ou até a possibilidade de “saltar” para outro servidor.

O aviso, que foi replicado por autoridades de cibersegurança em vários países (Portugal incluído), veio acompanhado de uma atualização para corrigir as vulnerabilidades. A instrução é direta ao assunto: “Recomenda-se vivamente a todos os utilizadores de PHP que efetuem a atualização imediatamente“. “Não há mitigações completas, atualizar é a única escolha segura.”

Assim que foi disponibilizada a correção, diversos sites em vários pontos do globo ficaram indisponíveis para que fosse feita a atualização, da Wikipédia a vários sites governamentais.

Os especialistas de cibersegurança alertam para a gravidade destas vulnerabilidades, que deixam uma boa parte da internet à mercê de ataques informáticos. Há até quem vá mais longe e afirme que esta falha arrisca “tornar-se uma das vulnerabilidades mais importantes de 2026”.

O que é o PHP?

O PHP (pré-processador de hipertexto) é uma linguagem de programação muito usada em sites, aplicações web e plataformas de compras online. Foi criado pelo programador Rasmus Lerdorf, em 1993.

A empresa de cibersegurança Check Point usa a analogia de um restaurante para explicar a importância do PHP. Se o navegador, por exemplo o Chrome ou o Firefox, é o “balcão que o cliente vê”, o PHP trabalha na cozinha a organizar o que chega à mesa.

Como foram descobertas as vulnerabilidades? E qual é o nível de gravidade?

A inteligência artificial (IA) foi usada para detetar as vulnerabilidades, com os investigadores de cibersegurança a servirem-se de modelos da OpenAI. Primeiro, os da empresa de segurança Calif encontraram uma falha usando o modelo GPT-5.6 Sol. A Wiz, comprada pela Google em 2025, também “descobriu e comunicou ambas as vulnerabilidades de forma autónoma”.

Google faz maior aquisição da sua história na era Trump 2.0 e num momento em que está na mira da concorrência

Discretamente, a OpenAI coordenou um pequeno grupo de trabalho para “preparar proteções” para as vulnerabilidades antes de haver uma divulgação ao público. No entanto, as informações terão chegado ao conhecimento de atacantes e já terão sido exploradas. A Amazon Web Services revelou que a sua equipa de segurança detetou sinais disso a “17 de outubro, quatro dias antes da divulgação pública”.

As vulnerabilidades são graves, alerta a indústria, que lhes deu uma nota de gravidade de 9,2 numa escala de 10. A Wiz, uma das empresas envolvidas na descoberta, considera que “foi uma das vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software“.

“Diria que é mais do que 9,2 [de gravidade]”, admite Rui Duro, responsável da empresa de cibersegurança Check Point em Portugal. “Não propriamente pela vulnerabilidade em si, mas pelas possíveis consequências” que pode ter “pelo número imenso de sistemas que estão vulneráveis”, explica ao Observador.

“O impacto potencial é considerável”, completa Sergey Lozhkin, diretor do Centro de Investigação para as regiões Ásia-Pacífico e Médio Oriente, Turquia e África da Kaspersky GReAT. “Se for explorada com sucesso, esta vulnerabilidade poderá permitir a execução remota de código, uma das formas mais graves de comprometimento de um sistema. Na prática, os atacantes poderão executar código malicioso nos sistemas afetados, incluindo instalar web shells, obtendo assim o controlo dos servidores vulneráveis.”

É um incidente que “pode ter repercussões rápidas à escala global, sobretudo quando afeta tecnologias tão amplamente utilizadas”.

Quem pode ser afetado?

Estão numa posição vulnerável os sites e plataformas que utilizam a linguagem PHP. É estimado que, atualmente, esta ferramenta esteja em cerca de 70% dos sites.

É usada em alguns dos principais serviços que criam e gerem sites, como por exemplo a plataforma WordPress.

Que medidas podem ser tomadas?

A principal recomendação é a atualização. “As organizações devem identificar as suas aplicações baseadas em PHP, coordenar-se com os fornecedores de alojamento e de serviços e aplicar as atualizações de segurança disponibilizadas”, diz a Agência Europeia de Cibersegurança (ENISA).

Nos casos em que “não seja viável uma correção imediata” é pedido aos responsáveis de sites que “considerem isolar as aplicações expostas das redes públicas até que as correções possam ser aplicadas”.

“As equipas de segurança devem dar prioridade aos sistemas expostos à internet, confirmando as versões que foram afetadas assim que o aviso oficial for publicado, e aplicar as atualizações sem demora”, diz Don Smith, vice-presidente da unidade de combate às ameaças da empresa de segurança Sophos. Sublinha que “os agentes de ameaças agem rapidamente, sobretudo com a ajuda da IA”.

Que sites estiveram offline?

Na quarta-feira, estiveram indisponíveis diversas páginas da Wikipédia enquanto era feita a atualização. No Reino Unido, estiveram indisponíveis as páginas da BBC ou ainda vários sites internacionais, como por exemplo a agência de cibersegurança dos Países Baixos.

E o que aconteceu em Portugal?

O Centro Nacional de Cibersegurança (CNCS) emitiu um alerta público sobre a vulnerabilidade na quarta-feira, “após tomar conhecimento da existência de vulnerabilidades críticas em diversos sistemas que recorrem à linguagem PHP”, diz fonte oficial.

O alerta foi “também difundido junto das comunidades de cibersegurança que dinamiza, da Administração Pública através dos vários ministérios e, de uma forma mais alargada, através das redes sociais institucionais”. A comunicação contém as “medidas recomendadas, com vista à preparação e aplicação imediata das atualizações por parte das equipas técnicas das organizações”.

A entidade responsável pela cibersegurança explica que os seus “sites públicos usam PHP, levando a uma indisponibilidade temporária, necessária para realizar esta atualização urgente”.

Este organismo explica que “não existem estimativas públicas” sobre a utilização do PHP em Portugal, mas menciona que a “ampla utilização do PHP em serviços digitais sugere uma potencial exposição relevante também a nível nacional”. A título preventivo, o CNCS iniciou “uma procura ativa de sites vulneráveis no ciberespaço nacional, dando prioridade a Gov.pt e a sites de entidades essenciais e importantes para um contacto mais direto e avaliação da situação nacional”. A situação está a ser acompanhada e o CNCS diz que está “a desencadear todos os esforços de prevenção, monitorização, deteção, reação, análise e correção face a qualquer ameaça ao ciberespaço nacional”.

Esta quinta-feira, o ministro da Presidência, António Leitão Amaro, que tem a tutela da cibersegurança, declarou que “muitas entidades públicas estão a fazer o desligamento temporário para fazer a atualização e corrigir essa vulnerabilidade”.

Já houve tentativas de explorar estas vulnerabilidades?

Sim, alguns “milhões”, revelou o CEO da Cloudflare, a tecnológica que gere e monitoriza uma boa parte do tráfego online. Numa publicação no X, Matthew Prince disse que a empresa detetou tentativas ainda antes do alerta público.

“Nas dez horas que antecederam o anúncio público, registámos, em toda a rede Cloudflare, milhares de tentativas de explorar essa vulnerabilidade”, escreveu. A partir do momento em que foi feito o alerta, as tentativas passaram para a ordem de “centenas de milhares no espaço de duas horas”. A publicação, feita já durante a madrugada desta quinta-feira, detalhou “milhões” de tentativas de exploração.

Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.

— Matthew Prince ???? (@eastdakota) October 22, 2026

Ao Observador, o CNCS diz que “até ao momento, não há qualquer notificação de tentativas de exploração das vulnerabilidades críticas em território nacional”.

O que acontece agora?

A principal recomendação é mesmo a da atualização, destacam os especialistas. Mas, nos próximos tempos, também será precisa muita atenção. “Acho que os próprios hackers vão estar sossegados para não criar muito alarmismo”, diz Rui Duro, da Check Point. “Quando a coisa sossegar, vão começar à procura de quem se distraiu e não fez as atualizações”, avisa.

“Acredito de forma muito convicta que, nas próximas semanas e meses, vamos ver empresas atacadas através desta vulnerabilidade, porque não fizeram atualização, que já está disponível e que deve ser feita imediatamente”, sublinha.

A Check Point recomenda ainda que sejam investigados “indicadores e sinais” como “pedidos invulgares”, “falhas ou reinicializações inesperadas” de ferramentas PHP ou “comunicações de servidores web para destinos desconhecidos”.

[Annie consegue estar presente nos últimos anos do pai, que não vai viver tempo suficiente para conhecer a sua sentença no julgamento do homicídio de Humberto Delgado. Entretanto, também ela vai ficar gravemente doente. Já pode ouvir o último episódio de “Os Escândalos de uma Revolucionária”, o novo Podcast Plus do Observador. Está disponível no site do Observador, na Apple Podcasts, no Spotify e no Youtube.]