PHP2Shell: como corrigir a vulnerabilidade do PHP no WordPress e no PrestaShop

O que é o PHP2Shell?

A 21 de outubro de 2026 a equipa do PHP lançou uma atualização urgente para duas falhas de segurança. Os investigadores deram ao problema o nome PHP2Shell. Através destas falhas, alguém pode executar o seu próprio código no servidor de um site sem login nem palavra-passe e, a partir daí, chegar aos dados guardados no site.

As falhas estavam no PHP há mais de dez anos. Foram encontradas por investigadores das empresas de segurança Calif e Wiz, em conjunto com a OpenAI, com ferramentas de inteligência artificial que leem código muito mais depressa do que as pessoas. Os detalhes foram divulgados na internet um dia antes do anúncio oficial, por isso os donos de sites não tiveram o habitual tempo de margem para atualizar.

Agências de segurança dos EUA, da Europa e do Japão pediram aos donos de sites que atualizassem de imediato, ou que desligassem os sites até o conseguirem. A primeira-ministra do Japão chegou a publicar sobre isto no X. Pouco depois da atualização, apareceu na internet código de ataque funcional, por isso não é um problema para "um dia destes".

O meu site WordPress ou PrestaShop está em risco?

Depende da plataforma em que o site foi feito. O PHP funciona no servidor, nos bastidores, por isso a pergunta é quem cuida desse servidor.

Não sabe em que plataforma está o seu site? Pergunte a quem o fez, ou envie-nos o endereço e nós dizemos-lhe.

Como ver a versão do PHP no WordPress e no PrestaShop

Correção do PHP2Shell: o que significa a sua versão

A pequena atualização dentro da mesma versão (por exemplo, de 8.3.20 para 8.3.36) é normalmente instalada pela empresa de alojamento no servidor. Não dá para fazer a partir do WordPress. Quase todos os alojamentos têm um chat de suporte ou um formulário de pedidos na sua conta, e basta uma mensagem curta.

Se outra pessoa gere o seu site, envie-lhe a mesma mensagem.

Se o seu site é muito antigo

Sites em que ninguém mexe há anos funcionam muitas vezes com PHP 8.1, 7.4 ou ainda mais antigo. Estas versões já não têm suporte, por isso não vai haver correção oficial para elas.

Passar para uma versão mais recente do PHP é o caminho certo, mas não mude a versão sozinho no painel do alojamento. Temas e plugins antigos podem deixar de funcionar e o site pode ir abaixo. Peça primeiro a um programador para verificar e atualizar os plugins, e só depois mudar a versão.

Se isso não puder acontecer depressa, o conselho oficial das agências de segurança é desligar o site por pouco tempo. Parece drástico, mas umas horas offline são melhores do que um site atacado e os dados dos seus clientes nas mãos erradas.

Sites WordPress antigos costumam ter mais do que um problema. Se precisar de ajuda com o seu, veja o nosso suporte e manutenção de sites.

Cuidado com burlas

Os burlões adoram notícias grandes como esta. Nas próximas semanas pode receber emails como "O seu site está em risco por causa da falha do PHP, entre aqui com urgência" ou "Pague hoje para corrigir o seu site".