Abalou mundo da cibersegurança e sites da Internet: O que é a PHP?
...
O mundo da cibersegurança está a ser abalado pela descoberta de duas vulnerabilidades em sites com linguagem de programação PHP - uma das mais populares em sites da Internet, que engloba não só sites governamentais como também de sistemas de gestão de conteúdos como o WordPress ou o Joomla.
O alerta foi dado pela equipa responsável por manter esta linguagem de programação, que lançou também uma atualização de emergência criada para corrigir estas duas vulnerabilidades.
A Agência Nacional de Segurança dos EUA partilhou uma mensagem na rede social X sobre o caso, onde refere que “todas as organizações que usem PHP nos seus sistemas” façam uma “atualização para corrigir duas vulnerabilidades críticas”.
Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server's file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.
— NSA Cyber (@NSACyber) October 21, 2026
“Estas vulnerabilidades costumam oferecer um caminho direto o sistema de ficheiros ou base de dados de um servidor”, pode ler-se na publicação. “Se realizar uma atualização de imediato não for possível, é recomendado que as organizações coloquem os sistemas fora do ar até que possa ser feita”.
O alerta também foi lançado por múltiplas agências europeias de cibersegurança, incluindo o Centro Nacional de Cibersegurança (CNC), em Portugal, que fez uma publicação no Facebook sobre o caso.
“A equipa de desenvolvimento do PHP divulgou uma atualização de emergência para corrigir duas vulnerabilidades críticas, ambas classificadas com CVSS v4.0 de 9.2”, pode ler-se na publicação do Facebook, com o CNC a indicar que “as vulnerabilidades não foram ainda divulgadas publicamente”.
O CNC também avança com alguns conselhos para organizações com sites que recorram ao PHP, recomendando a “a aplicação da atualização assim que for disponibilizada, consultando as fontes oficiais do projeto para as versões corrigidas”.
Além de dar conta da importância de fazer uma análise completa aos sistemas dando “prioridade aos sistemas acessíveis a partir da Internet”, o CNC afirma que deve ser ponderado “o isolamento das aplicações expostas face às redes públicas”.
“Havendo indícios de comprometimento, isolar o servidor, preservar os logs do servidor web e do PHP, e procurar webshells e ficheiros novos na raiz web, bem como tarefas agendadas e contas criadas recentemente”, pode ler-se na publicação do CNC.
Vulnerabilidades foram encontradas com Inteligência Artificial
Conta a Reuters que estas vulnerabilidades na linguagem de programação PHP foram detetadas pela empresa de cibersegurança Calif em colaboração com a OpenAI. A deteção foi possível recorrendo ao modelo GPT-5.6 Sol da empresa de Inteligência Artificial e foi reportada pela primeira vez no dia 11 de agosto.
Pouco depois, no dia 24 de agosto, a empresa de cibersegurança Wiz - detida pela Alphabet, da Google - também detetou a existência destas vulnerabilidades recorrendo a ferramentas de Inteligência Artificial.
Sobre a descoberta, a Wiz contou que as vulnerabilidades em questão estiveram presentes ao longo de décadas e que “estão entre as mais críticas já detectadas em PHP e, possivelmente, na história do software”. Mais ainda, a empresa de cibersegurança também nota que era excecionalmente difícil para investigadores humanos provarem a existência destas vulnerabilidades, indicando que estavam “na fronteira daquilo que os investigadores humanos era capazes de conseguir na prática”.
[Notícia atualizada às 10h40]
Leia Também: Japão deteta uso de ferramenta chinesa de IA em ciberataques