A 21 de outubro de 2026, o projeto PHP anunciou duas vulnerabilidades críticas e publicou versões corrigidas. Um único pedido manipulado, enviado por um atacante não autenticado, pode bastar para executar código no servidor. A imprensa começou a chamar a este par de falhas «PHP2Shell».

O PHP está na base do WordPress e de grande parte dos sites de pequenas empresas, bem como de muitas ferramentas de newsletter alojadas em servidor próprio. Veja o que isto significa se envia uma newsletter e o que deve verificar hoje.

O que é o PHP2Shell (CVE-2026-109618 e CVE-2026-109619)?

Segundo o aviso de segurança oficial do PHP:
Vulnerabilidades CVE-2026-109618 (corrupção de memória no tratamento de falta de memória) e CVE-2026-109619 (estado interno que persiste depois de a memória ser libertada)
Gravidade Ambas com classificação 9,2 (crítica) no CVSS v4.0
Impacto Execução remota de código sem autenticação, com as permissões do utilizador do servidor web
Quem é afetado Qualquer instalação de PHP que processe pedidos web. O Apache com mod_php é apontado como o caso de maior risco
Versões corrigidas PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (publicadas a 21 de outubro)
Versões antigas O PHP 8.1 e anteriores já não têm suporte oficial; foram publicadas correções mínimas para 7.4, 8.0 e 8.1

O PHP sublinha que atualizar é a única correção completa. As alterações de configuração apenas reduzem o risco.

Segundo investigadores de segurança e notícias da imprensa, houve tentativas de exploração antes do anúncio público, e já circula código de exploração.

Como o PHP2Shell afeta a sua newsletter

Para quem envia uma newsletter, há dois riscos distintos.

1. O seu site é tomado

Se os atacantes tomarem conta do seu site WordPress ou de outro site em PHP, podem colocar anúncios falsos ou links para sites maliciosos nas suas notícias e artigos do blogue.

Se depois preparar a newsletter a partir desses artigos, é a sua própria newsletter que leva os leitores a um site perigoso. Perde a confiança dos leitores, e as queixas de spam vão dificultar a entrega dos próximos e-mails.

2. O seu sistema de envio é tomado

Se usa uma ferramenta de newsletter em PHP ou um plugin de newsletter do WordPress no seu próprio servidor, os atacantes poderiam:

  • Roubar a sua lista de subscritores (endereços de e-mail e nomes)
  • Usar o seu servidor para enviar spam ou phishing em massa
  • Prejudicar a reputação do seu domínio, de modo que nem os seus e-mails legítimos cheguem à caixa de entrada

Se usa o WordPress ou um plugin de newsletter

O WordPress e os seus plugins de newsletter funcionam sobre PHP. Atualizar o WordPress e os plugins não corrige esta vulnerabilidade se o próprio PHP estiver desatualizado. Verifique a versão do PHP no painel de controlo do seu fornecedor de alojamento ou nos avisos que ele publica.

Lista de verificação para hoje

O que fazer Como verificar
Verificar a versão do PHP No painel de controlo ou nos avisos do seu fornecedor de alojamento. Se não for uma das versões corrigidas acima, peça a atualização ao fornecedor ou ao administrador
Se não puder atualizar já Fale com o administrador sobre as definições provisórias indicadas pelo PHP (reduzem o risco, mas não o eliminam). Se o sistema não puder ser protegido rapidamente, retire-o temporariamente da Internet
Atualizar o WordPress e os plugins Não resolve esta falha, mas fecha outras portas de entrada
Rever os conteúdos recentes do site Procure artigos ou links que não reconheça
Acompanhar o volume de envios Procure envios que não agendou ou picos repentinos
Acompanhar queixas de spam e devoluções Uma subida brusca pode indicar uma intrusão
Ler os relatórios DMARC Verifique se há servidores desconhecidos a enviar e-mails em nome do seu domínio

Se a sua lista de subscritores pode ter sido divulgada

Os endereços de e-mail e os nomes dos seus subscritores são dados pessoais nos termos do RGPD. Em caso de violação desses dados:

  • Notificação à CNPD (artigo 33.º do RGPD): sem demora injustificada e, sempre que possível, no prazo de 72 horas após ter tido conhecimento da violação, a menos que esta não seja suscetível de resultar num risco para as pessoas. Se a notificação for feita depois desse prazo, deve indicar os motivos do atraso. A Comissão Nacional de Proteção de Dados disponibiliza um formulário próprio para estas notificações.
  • Comunicação aos titulares dos dados (artigo 34.º do RGPD): quando a violação for suscetível de implicar um elevado risco para os seus direitos e liberdades.

Mesmo quando não há obrigação de notificar, todas as violações têm de ser documentadas. Se suspeita de que os dados dos subscritores foram expostos, procure aconselhamento, por exemplo junto do seu encarregado de proteção de dados.

Não alojar o sistema de envio por conta própria

Quando o sistema de newsletter funciona no seu próprio servidor, aplicar correções para falhas como esta é tarefa sua. Com um serviço de newsletter alojado, manter a infraestrutura de envio atualizada é responsabilidade do fornecedor.

O Newsletter Ready não usa PHP, pelo que não é afetado por esta vulnerabilidade. A segurança do site de onde a sua newsletter retira os conteúdos continua a ser da sua responsabilidade, por isso verifique também a versão do PHP desse site.

Fontes

Este artigo contém informação geral e não constitui aconselhamento jurídico.