A 21 de outubro de 2026 o PHP, a linguagem em que corre a maior parte da web, recebeu uma correção de emergência para duas falhas que permitem a um desconhecido executar comandos num servidor sem precisar de password. Três em cada quatro sites portugueses correm em PHP. A CyberS3c mediu nesse dia 391 sites do setor público: 58% mostram PHP, e dos 66 que dizem que versão usam, 29 correm versões sem suporte há seis anos em média. No país inteiro, o motor de pesquisa Shodan vê 2 339 servidores portugueses a anunciar PHP; para 1 329 deles não existe correção nenhuma, só substituição. O maior bloco é a rede das escolas públicas. Enquanto isso, doze câmaras do distrito de Évora estavam corrigidas seis horas depois do patch, porque partilham uma plataforma gerida a sério.

Todos os números deste texto foram recalculados a partir dos dados em bruto antes de o entregar. Onde um número tem uma limitação, ela está escrita ao lado.

O que é o PHP, e porque é que isto é um problema de quase toda a gente

Quando se abre o site de uma câmara municipal, o que aparece no ecrã não está guardado como uma página pronta. É montado no momento, por um programa que corre no servidor: vai buscar a notícia à base de dados, verifica se o visitante tem sessão iniciada, encaixa o menu e devolve o resultado. O PHP é a linguagem em que esse programa está escrito na maior parte da web. É o motor por baixo do WordPress, que sozinho serve dois em cada três sites portugueses com gestor de conteúdos, e também do Drupal, do Joomla, do Magento das lojas online, do Nextcloud, do phpMyAdmin e de milhares de aplicações feitas à medida para autarquias, escolas e empresas.

Uma analogia que funciona: o WordPress é a casa; o PHP é o terreno onde a casa está construída. Pode ter a casa impecável, com portas novas e alarme, e isso não serve de nada se o terreno ceder. É por isso que uma falha no PHP não é uma notícia sobre um produto, é uma notícia sobre o chão em que quase tudo assenta.

Três números situam Portugal. Entre os sites com domínio .pt cuja tecnologia é identificável, 74,4% correm em PHP e 66,1% dos que têm gestor de conteúdos usam WordPress, segundo o W3Techs, a 21 de outubro de 2026. Há cerca de 490 mil domínios .pt ativos. Aplicando a proporção, a ordem de grandeza é de mais de 300 mil sites portugueses em PHP; é uma estimativa, não uma contagem, e deve ser apresentada como tal.

É o nome dado a duas falhas no motor do PHP, identificadas como CVE-2026-109618 e CVE-2026-109619, classificadas com 9,2 em 10. Permitem a quem envia um único pedido a um site, sem conta nem password, executar comandos no servidor e ler a memória do programa, onde estão as passwords da base de dados, as sessões de outros utilizadores e as chaves de acesso a outros sistemas. Afetam todas as versões desde o PHP 5.4, de 2012.

O que as torna diferentes das falhas habituais é o momento em que atuam. Quando um pedido chega a um servidor, o PHP prepara-o antes de entregar o controlo ao WordPress ou ao site da câmara: lê os dados enviados, trata os ficheiros anexados, arruma a sessão. A falha dispara nessa preparação, antes de a aplicação ver o que quer que seja. Por isso não há plugin de segurança, atualização do WordPress, antivírus ou autenticação forte que a trave. Só atualizar o próprio PHP, no servidor, resolve. Em alojamento........

© Sapo