- Alameda F.C. Infesta 47, São Mamede de Infesta, Porto
- (+351) 225 400 069
A segurança de uma aplicação depende de vários elementos, incluindo o código desenvolvido, os componentes utilizados e as tecnologias que suportam o seu funcionamento.
Quando uma vulnerabilidade é identificada numa dessas tecnologias, o impacto pode estender-se a diferentes aplicações e organizações.
Foi precisamente isso que aconteceu em outubro de 2026, com a divulgação de duas vulnerabilidades críticas no PHP, uma das linguagens de programação utilizadas no desenvolvimento de websites e aplicações web.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas em conjunto como PHP2Shell, podem permitir a execução remota de código em sistemas vulneráveis sem necessidade de autenticação.
O alerta conjunto da Comissão Europeia, ENISA, CERT-EU e Europol recomendou às organizações que identificassem os sistemas afetados e aplicassem as atualizações de segurança disponibilizadas.
O PHP é utilizado em diferentes tipos de aplicações web, plataformas e sistemas de gestão de conteúdos.
Uma vulnerabilidade na própria execução da linguagem pode, por isso, ter consequências para aplicações que dependem de versões afetadas.
Neste caso, as falhas estão relacionadas com a gestão interna de memória e o tratamento de determinados erros durante o processamento de pedidos.
Se forem exploradas com sucesso, podem permitir que um atacante execute código remotamente no servidor afetado, comprometendo potencialmente a informação e o funcionamento da aplicação.
O risco não significa que todas as aplicações PHP estejam comprometidas. A exposição depende das versões utilizadas e das condições técnicas de cada instalação.
Ainda assim, o incidente demonstra a importância de acompanhar as vulnerabilidades que afetam as tecnologias presentes na infraestrutura de uma organização.
Qualquer organização que utilize aplicações baseadas em PHP deve avaliar a sua exposição.
Isto inclui empresas com:
Websites institucionais.
Plataformas de comércio eletrónico.
Aplicações web desenvolvidas à medida.
Sistemas internos acessíveis através de browser.
Plataformas de gestão de conteúdos.
Aplicações antigas que continuam em funcionamento.
Um dos desafios está precisamente na existência de aplicações que foram desenvolvidas há vários anos e que continuam a funcionar sem uma revisão técnica regular.
Em alguns casos, as equipas responsáveis podem nem ter visibilidade completa sobre as versões e os componentes utilizados.
Perante uma vulnerabilidade desta natureza, a resposta deve começar por identificar os sistemas potencialmente afetados e avaliar o risco.
Existem várias medidas que devem ser consideradas.
1. Identificar as versões utilizadas
É necessário verificar quais as aplicações e servidores que utilizam PHP e identificar as versões instaladas.
2. Aplicar as atualizações de segurança
A correção disponibilizada pelo projeto PHP deve ser aplicada nas versões suportadas afetadas.
As versões corrigidas indicadas no alerta incluem PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
As versões 8.1 e anteriores encontram-se fora de suporte e exigem uma estratégia de migração para uma versão suportada.
3. Avaliar a exposição das aplicações
As aplicações acessíveis através da Internet devem merecer especial atenção, sobretudo quando utilizam versões vulneráveis.
4. Rever componentes e dependências
A avaliação deve incluir os componentes e as plataformas que dependem do PHP, não apenas a instalação principal da linguagem.
5. Reforçar a monitorização
A monitorização dos sistemas permite identificar comportamentos anómalos e apoiar a deteção de possíveis tentativas de exploração.
6. Planear a manutenção contínua
A aplicação de atualizações não deve acontecer apenas perante alertas críticos. Deve fazer parte de um processo regular de gestão e manutenção tecnológica.
O caso do PHP demonstra que a segurança de uma aplicação depende também das tecnologias que lhe dão suporte.
Uma aplicação pode ter sido desenvolvida de acordo com os requisitos iniciais e, ainda assim, tornar-se vulnerável com a descoberta de novas falhas nos seus componentes.
Por isso, a gestão de vulnerabilidades deve ser encarada como um processo contínuo, que envolve identificação, avaliação, correção e acompanhamento.
Na ORBCOM by Nomios, ajudamos as organizações a proteger a sua infraestrutura tecnológica, através de serviços de cibersegurança, desenvolvimento e acompanhamento de soluções tecnológicas.
Sabe que tecnologias e versões estão a suportar as aplicações da sua empresa?
Fale com a nossa equipa e avalie como reforçar a segurança dos seus sistemas.
Uma empresa está mais preparada para implementar inteligência artificial quando os seus sistemas comunicam entre si, os dados estão organizados e protegidos, a infraestrutura consegue suportar novas exigências e existe uma responsabilidade clara pela integração da IA. Antes de escolher uma ferramenta, é importante avaliar estes quatro elementos.
Antes de investir em IA, uma empresa deve avaliar quatro áreas principais: integração dos sistemas, localização e segurança dos dados, capacidade da infraestrutura e responsabilidade pela integração. A tecnologia de IA pode ser poderosa, mas o seu valor depende da capacidade da empresa para lhe disponibilizar dados, sistemas e infraestrutura adequados.
A infraestrutura deve conseguir suportar maior processamento de dados, tráfego e exigência sobre a cloud e a rede. Antes de implementar IA, a empresa deve avaliar se a infraestrutura atual consegue acompanhar estas necessidades. Caso contrário, a implementação pode tornar-se lenta, instável ou mais dispendiosa do que o previsto.
O primeiro passo é garantir que os sistemas comunicam entre si e que os dados necessários estão acessíveis de forma estruturada e segura. CRM, ERP, sistemas operacionais e outras fontes de informação não devem funcionar como silos. Também é essencial definir quem pode aceder aos dados e como esses acessos são controlados.
Os principais riscos incluem sistemas que não comunicam entre si, acesso inadequado a dados, infraestrutura insuficiente e falta de responsabilidade clara pela integração. A IA pode também aumentar a superfície de acesso à informação da empresa. Por isso, segurança, gestão de acessos e integração devem ser consideradas antes da implementação, e não apenas depois.
Sign up to our newsletter and keep up with the latest insights.
If you would like to get to know ORBCOM better and understand how our products, consulting services and outsourcing, fit your reality, speak to a specialist.
