← Sala de imprensa Comunicado de imprensa Lisboa, 22 de outubro de 2026
Falha crítica no PHP: quase 1 em cada 5 sites de PMEs portuguesas avaliados está em risco
A HeraPrime avaliou 1.857 sites de PMEs portuguesas da sua base de contactos. Entre eles, 360 (19%) anunciam publicamente uma versão de PHP anterior à corrigida e outros 553 (30%) têm PHP com estado por confirmar. Quase metade do universo avaliado precisa de verificação urgente perante uma falha já explorada em todo o mundo.
Lisboa, 22 de outubro de 2026. Ontem, 21 de outubro de 2026, às 15:00 (hora de Lisboa), a equipa do PHP lançou um patch de emergência para um dos alertas mais graves do ano. Duas vulnerabilidades críticas, batizadas de PHP2Shell (CVE-2026-109618 e CVE-2026-109619), permitem a um atacante assumir o controlo de um servidor sem sequer precisar de palavra-passe, e podem expor palavras-passe, tokens e chaves de acesso guardados em memória. Gravidade: 9,2 em 10. O PHP é a base de perto de 70% dos sites com linguagem de servidor conhecida. A ameaça também não era teórica: 19 minutos depois do patch, já havia registo de ataques a decorrer, reportados por operadores e investigadores em todo o mundo.
Assim que surgiram os primeiros alertas, a equipa de cibersegurança da HeraPrime compilou o retrato dos 1.857 sites de PMEs portuguesas da sua base de contactos que foi possível avaliar. Do alerta à resposta, menos de 24 horas.
Os números das PMEs portuguesas
Dos 1.857 sites avaliados, 360 (19%) anunciam publicamente uma versão de PHP anterior à corrigida: estão em risco direto. Outros 553 (30%) têm PHP ativo num estado que não é possível confirmar à distância e podem estar igualmente expostos. Somados, quase metade dos sites avaliados precisa de verificação imediata.
Há também sinais de reação rápida: pelo menos 45 sites já aplicaram medidas desde o alerta, 36 a anunciar publicamente uma versão de PHP já corrigida (builds que só existem desde 21 de outubro) e 9 cobertos por fornecedores de alojamento que concluíram o rollout do patch. É um mínimo: muitas correções, feitas por backport, mantêm o número de versão antigo e não são visíveis do exterior. Os restantes 944 sites (51%) não mostram sinais de risco.
| Avaliação | Sites | % avaliados | Leitura |
|---|---|---|---|
| Em risco | 360 | 19,4% | Anuncia publicamente uma versão de PHP anterior à corrigida |
| PHP presente, por confirmar | 553 | 29,8% | Tem PHP, mas a correção não é verificável à distância |
| Sem risco aparente | 944 | 50,8% | Versão já corrigida, site sem PHP, ou sem indicador de PHP |
| Total | 1.857 | 100% |
«Em risco» significa que o site anuncia publicamente uma versão anterior à corrigida. Não é confirmação de ataque nem de compromisso, e um backport do fornecedor pode alterar a leitura, mas é sinal claro de que a verificação não pode esperar.
Sobre a PHP2Shell
As duas falhas afetam instalações de PHP que servem pedidos web, incluindo PHP-FPM, Apache mod_php, php-cgi, FrankenPHP e LiteSpeed. Além da execução remota de código, foi demonstrada a divulgação não autenticada de memória, que pode expor palavras-passe, tokens e chaves de API. As versões corrigidas são PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Versões anteriores podem continuar protegidas através de backports do fornecedor de alojamento, o que só o próprio fornecedor consegue confirmar.
«Numa ameaça desta gravidade, as primeiras horas decidem tudo. Pusemos a equipa a trabalhar assim que surgiram os primeiros alertas, para dar às empresas portuguesas um retrato claro de onde está o risco. Quase metade dos sites que avaliámos precisa de verificação imediata, e é esse o alerta que queremos deixar. Quando o negócio não pode parar, o tempo de reação faz toda a diferença.»
Paulo Lobo, diretor comercial da HeraPrime
Recomendação
Com o PHP presente em cerca de 70% dos sites a nível mundial, o alerta aplica-se a quase todas as empresas. A HeraPrime recomenda que cada uma confirme, junto do responsável técnico ou do fornecedor de alojamento, três pontos: a versão de PHP em serviço, a cobertura de backport para ambas as CVE e o reinício dos processos após a atualização.
Nota metodológica
A amostra são os sites da base de contactos ativa da HeraPrime (PMEs portuguesas, incluindo clientes e outros contactos empresariais), não uma amostra estatisticamente representativa do mercado nacional. As percentagens são calculadas sobre os 1.857 sites que foi possível avaliar; outros 1.200 sites estavam indisponíveis ou não responderam e foram excluídos da base. A análise usou apenas pedidos públicos às páginas, sem autenticação nem qualquer tentativa de ataque, e reflete o momento da observação, a 22 de outubro de 2026.
Referências: alerta PHP (php.net, 21 de outubro de 2026); CISA, «Critical Vulnerabilities in PHP Require Immediate Patching» (21 de outubro de 2026); quota de utilização do PHP: W3Techs.
Sobre a HeraPrime
A HeraPrime é parceiro Cegid Platinum: implementa, migra e dá suporte ao software de gestão Cegid Primavera e à infraestrutura Microsoft de 423 clientes ativos em Portugal. Nasceu em 2024 e assenta em 30 anos de prática no mercado nacional. Tem sede em Lisboa e 35 colaboradores.
Contacto para imprensa
Rita Jardim, 21 121 0892, media@heraprime.com.