O PHP é a linguagem de programação que está por trás de uma grande parte da Web. Desde o WordPress às lojas online e aos sites de alojamento local, e é nele que estão as duas falhas críticas conhecidas como falha PHP2Shell. A agência de cibersegurança dos EUA, a CISA, confirmou a 26 de outubro que já estão a ser exploradas em ataques.
O exemplo mais visível do impacto vem da Casio. Como parte dos serviços da app CASIO WATCHES, que liga os relógios ao telemóvel, usa PHP, a marca japonesa suspendeu-os por precaução desde 21 de outubro. Explicamos porque é que a falha é tão grave, o que muda para quem tem um relógio Casio e o que deves pedir ao teu alojamento se tens um site.
Porque é que a falha PHP2Shell é tão grave
A gravidade começa na classificação. As duas vulnerabilidades, com os identificadores CVE-2026-109618 e CVE-2026-109619, têm nota crítica, de 9,2 em 10 na escala CVSS 4.0, e, segundo a equipa do PHP, permitem a execução remota de código sem autenticação, ou seja, um atacante pode correr os seus próprios comandos num servidor vulnerável sem precisar de palavra-passe nem de conta.
Com esse acesso, pode roubar dados de clientes, instalar malware ou usar o servidor em novos ataques. E, como o PHP está presente em tantos sites e serviços, o problema não se limita a uma marca nem a um tipo de site.
A boa notícia é que a solução já existe. As correções saíram a 21 de outubro, nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e quem tem uma destas linhas de versões só precisa de atualizar para a versão corrigida.
O que aconteceu à app da Casio
Foi precisamente esse risco que levou a Casio a agir. Num aviso publicado a 22 de outubro, a marca explica que suspendeu temporariamente, desde o dia 21 (hora do Japão), parte dos serviços da app CASIO WATCHES, porque alguns deles funcionam com PHP e a empresa preferiu desligá-los para proteger a informação dos clientes.
Segundo a Casio, não foram detetados acessos não autorizados nem fugas de dados, e o problema afeta tecnologia usada por serviços Web de todo o mundo, não sendo exclusivo da marca. A empresa diz estar a trabalhar para repor os serviços o mais depressa possível, embora não tenha dado data de regresso.
Para quem tem um relógio Casio com Bluetooth, isto significa que o relógio continua a funcionar. Como o aviso não diz que funções da app estão desligadas, é possível que algumas opções não respondam durante uns dias, mas não precisas de apagar a app nem de mudar nada no relógio.
Já há ataques, e a CISA confirma
O que mudou esta semana foi a urgência. A 26 de outubro, a CISA juntou as duas falhas ao seu catálogo de vulnerabilidades exploradas, a lista que reúne os problemas que já estão a ser usados por atacantes, e deu às agências federais norte-americanas até 29 de outubro para corrigirem os seus sistemas.
A agência não deu pormenores sobre quem está por trás dos ataques nem sobre os alvos, mas a entrada no catálogo basta para mudar o tom: a PHP2Shell deixou de ser uma falha que pode ser explorada e passou a ser uma falha que está a ser explorada.
Tens um site em WordPress? O que pedir ao teu alojamento
Essa urgência também chega a quem tem um site pequeno. Se tens um site de uma empresa, de um restaurante, de um alojamento local ou uma loja online, há boas probabilidades de correr em PHP, e o primeiro passo é saberes que versão usas:
- No WordPress: vai a Ferramentas > Saúde do site > Informação e abre a secção Servidor, onde aparece a versão do PHP.
- No painel do alojamento (cPanel ou Plesk): procura a opção de gestão ou seleção da versão do PHP.
Com a versão identificada, compara-a com as corrigidas. Se o teu site usa PHP 8.2, 8.3, 8.4 ou 8.5, pede ao alojamento que confirme que já instalou a 8.2.35, a 8.3.36, a 8.4.27 ou a 8.5.12. Se usa o PHP 8.1 ou uma versão anterior, o caso é mais sério, porque essas versões já não recebem correções oficiais da equipa do PHP e a solução passa por subir de versão.
Quem trata da atualização depende do tipo de alojamento. Num alojamento partilhado, costuma ser a empresa de alojamento, mas não custa enviar uma mensagem a perguntar; se geres o teu próprio servidor, a atualização é contigo e não deve esperar.
A nossa análise
O caso da Casio mostra bem como uma falha num componente invisível acaba por chegar ao pulso de quem nunca ouviu falar de PHP. Perante isso, a marca fez o que deve ser feito: desligou o que estava exposto, explicou porquê e não esperou por um problema maior.
Para quem tem um site, a lição é a mesma de sempre, só que com prazo mais curto. Uma falha crítica que já está a ser explorada não espera pela próxima manutenção agendada, e os cinco minutos que levas a confirmar a versão do PHP valem muito mais do que limpar um site comprometido.