Milhares de sites afetados por causa de falhas do PHP
Alertas foram emitidos em todo o mundo
22 de outubro, 2026
Imagem gerada por IA
Foram identificadas falhas graves do PHP, com recurso à inteligência artificial. Várias instituições públicas e privadas desligaram os sites e as entidades de segurança emitiram alerta.
Duas vulnerabilidades críticas na linguagem PHP estão a provocar falhas de segurança em milhões de páginas e aplicações por todo o mundo. Desde ontem que estão a ser lançadas atualizações, que os utilizadores devem instalar de imediato, já que as falhas foram classificadas com 9.2 numa escala de 10.
De acordo com as informações prestadas pela Agência de Segurança Nacional dos Estados Unidos (NSA), os atacantes podem ter acesso direto ao sistema de ficheiros ou à base de dados do servidor, o que permite assumir o controlo de um site vulnerável e aceder aos dados dos utilizadores. A NSA, as agências de segurança de Washington e Londres, a Comissão Europeia e, em Portugal, o Centro Nacional de Cibersegurança (CNCS) emitiram alertas.
Em França, todas as autarquias desligaram os sites a pedido da agência nacional de segurança dos sistemas de informação. Finlândia, Dinamarca, Países Baixos e Bélgica tomaram medidas semelhantes. Em Portugal, vários sites foram desligados esta quarta-feira.
O PHP, criado no início da década de 90, é uma linguagem de código aberto que liga os sites às bases de dados dos servidores, utilizada por cerca de 70% dos sites (por exemplo o WordPress e o Drupal). Deixamos a referência da Palo Alto Networks na identificação de 22 milhões de plataformas expostas.
As falhas existiam há anos e foram encontradas com recurso a inteligência artificial. A PHP Foundation usou um modelo da Anthropic e a OpenAI, a Wiz (Google) e o investigador Ryan A. também as detetaram. Esta tecnologia pode, porém, ser usada por atacantes e daí que a Anthropic tenha restringido o acesso ao modelo Mythos com invocação a razões de cibersegurança.
A divulgação estava marcada para 22 de outubro, mas foi antecipada porque a informação começou a circular em fóruns e redes sociais, já na terça-feira. A Amazon Threat Intelligence detetou uma tentativa de exploração quatro dias antes da divulgação pública e a Hadrian e a Cloudflare confirmam que já há ataques em larga escala.
O CNCS recomenda...
Aplicar as atualizações assim que disponíveis, inventariar todas as instalações de PHP (priorizando as acessíveis pela internet) e confirmar com os fornecedores de alojamento e de sistemas operativos a disponibilização de pacotes corrigidos. Monitorizar os processos criados pelo PHP e, havendo indícios de comprometimento, isolar o servidor, preservar os registos e procurar ficheiros ou contas suspeitas.
A Omnisinal acompanha a situação desde o primeiro momento e continuará a trabalhar para garantir a segurança dos sistemas e dos dados de clientes e parceiros.
De acordo com as informações prestadas pela Agência de Segurança Nacional dos Estados Unidos (NSA), os atacantes podem ter acesso direto ao sistema de ficheiros ou à base de dados do servidor, o que permite assumir o controlo de um site vulnerável e aceder aos dados dos utilizadores. A NSA, as agências de segurança de Washington e Londres, a Comissão Europeia e, em Portugal, o Centro Nacional de Cibersegurança (CNCS) emitiram alertas.
Em França, todas as autarquias desligaram os sites a pedido da agência nacional de segurança dos sistemas de informação. Finlândia, Dinamarca, Países Baixos e Bélgica tomaram medidas semelhantes. Em Portugal, vários sites foram desligados esta quarta-feira.
O PHP, criado no início da década de 90, é uma linguagem de código aberto que liga os sites às bases de dados dos servidores, utilizada por cerca de 70% dos sites (por exemplo o WordPress e o Drupal). Deixamos a referência da Palo Alto Networks na identificação de 22 milhões de plataformas expostas.
As falhas existiam há anos e foram encontradas com recurso a inteligência artificial. A PHP Foundation usou um modelo da Anthropic e a OpenAI, a Wiz (Google) e o investigador Ryan A. também as detetaram. Esta tecnologia pode, porém, ser usada por atacantes e daí que a Anthropic tenha restringido o acesso ao modelo Mythos com invocação a razões de cibersegurança.
A divulgação estava marcada para 22 de outubro, mas foi antecipada porque a informação começou a circular em fóruns e redes sociais, já na terça-feira. A Amazon Threat Intelligence detetou uma tentativa de exploração quatro dias antes da divulgação pública e a Hadrian e a Cloudflare confirmam que já há ataques em larga escala.
O CNCS recomenda...
Aplicar as atualizações assim que disponíveis, inventariar todas as instalações de PHP (priorizando as acessíveis pela internet) e confirmar com os fornecedores de alojamento e de sistemas operativos a disponibilização de pacotes corrigidos. Monitorizar os processos criados pelo PHP e, havendo indícios de comprometimento, isolar o servidor, preservar os registos e procurar ficheiros ou contas suspeitas.
A Omnisinal acompanha a situação desde o primeiro momento e continuará a trabalhar para garantir a segurança dos sistemas e dos dados de clientes e parceiros.
