Fri, 23 Oct 2026 07:06:39 +0000 pt-PT hourly 1 https://blog.e-goi.com/wp-content/uploads/2018/02/favicon-egoi-512x512-200x200-100x100.png 32 32 https://blog.e-goi.com/pt/php2shell-vulnerabilidades-resposta-egoi/ https://blog.e-goi.com/pt/php2shell-vulnerabilidades-resposta-egoi/#respond Tiago Guedes Fri, 23 Oct 2026 07:06:35 +0000 Segurança https://blog.e-goi.com/?p=64530 Se tem acompanhado as notícias de tecnologia, é provável que tenha ouvido falar de um terramoto que abalou a internet nos últimos dois dias. Talvez tenha apenas visto passar dois códigos estranhos: CVE-2026-109618 e CVE-2026-109619, já apelidados informalmente de “PHP2Shell”. Duas vulnerabilidades que levaram várias organizações a suspender serviços por prevenção. <p class="wp-block-paragraph">Não se tratou de um pequeno bug num site qualquer, mas de duas vulnerabilidades críticas que estiveram adormecidas durante mais de uma década, desde 2011/2012, no coração do PHP, a linguagem e o motor que servem de base a uma grande parte dos sites da internet, desde blogs em WordPress até plataformas de comércio eletrónico.</p> <p class="wp-block-paragraph">Queremos partilhar consigo o que aconteceu, como respondemos e o que este episódio nos mostra sobre o futuro da segurança digital.</p> <h2 id="h-para-quem-nao-e-de-codigo-o-que-e-afinal-o-php2shell" class="wp-block-heading"><strong>Para quem não é de código: o que é, afinal, o “PHP2Shell”?</strong></h2> <p class="wp-block-paragraph">Para perceber a gravidade disto sem precisar de um curso de engenharia de software, pense no PHP como o motor de um carro e na internet como uma autoestrada.</p> <p class="wp-block-paragraph">Há cerca de 15 anos, os criadores do PHP adicionaram uma funcionalidade chamada <em>session.upload_progress</em>, cujo objetivo era simples: quando um utilizador envia um ficheiro pesado, como uma fotografia ou um vídeo, através de um formulário web, o servidor calcula a percentagem do envio para poder mostrar aquela clássica barra de progresso: 20%, 50%, 100%.</p> <p class="wp-block-paragraph">O problema? No código interno em C, a linguagem que constrói o próprio motor do PHP, havia uma falha subtil na forma como a memória era limpa quando acontecia um erro.</p> <p class="wp-block-paragraph">Se um atacante enviasse um pedido web propositadamente malformado, com milhares de cabeçalhos falsos ou dados desorganizados, o servidor podia esgotar a memória e entrar num estado chamado <em>Out of Memory</em>.</p> <p class="wp-block-paragraph">Em vez de fechar a porta e trancar tudo de forma segura, o motor deixava referências de memória “fantasmas” penduradas e perdidas. Num segundo pedido, o atacante podia aproveitar esse espaço de memória para introduzir as suas próprias instruções.</p> <p class="wp-block-paragraph">O resultado prático? O que em segurança se chama <strong>RCE, ou execução remota de código</strong>: o invasor ganha a capacidade de executar comandos no servidor com as permissões do processo afetado.</p> <p class="wp-block-paragraph">Um simples formulário web público podia transformar-se numa porta de entrada para controlar um servidor.</p> <h2 id="h-porque-e-que-isto-so-foi-descoberto-15-anos-depois" class="wp-block-heading"><strong>Porque é que isto só foi descoberto 15 anos depois?</strong></h2> <p class="wp-block-paragraph">Esta é uma das partes mais fascinantes e preocupantes deste episódio.</p> <p class="wp-block-paragraph">O código do PHP é <em>open source</em>. Está disponível publicamente há décadas. Ao longo de 15 anos, aquelas linhas passaram por revisões, auditorias e testes de segurança sem que estas falhas fossem identificadas.</p> <p class="wp-block-paragraph">O que mudou? A inteligência artificial e o poder computacional colocado ao serviço da análise de código estão a ampliar a capacidade de encontrar problemas que antes exigiam muito mais tempo e trabalho humano.</p> <p class="wp-block-paragraph">Modelos de linguagem avançados, combinados com ferramentas automáticas de análise de código e <em>fuzzing</em>, que testa programas com grandes volumes de dados inesperados ou malformados, permitem explorar comportamentos complexos a uma escala diferente.</p> <p class="wp-block-paragraph">A IA está a acelerar a leitura, a análise e a correlação de fluxos de execução. Isso ajuda quem protege os sistemas, mas também pode dar mais capacidade a quem procura atacá-los.</p> <h2 id="h-uma-mudanca-de-paradigma-codigo-fechado-nao-garante-seguranca" class="wp-block-heading"><strong>Uma mudança de paradigma: código fechado não garante segurança</strong></h2> <p class="wp-block-paragraph">Durante décadas, parte da indústria apoiou-se numa ideia confortável: a chamada <em>security through obscurity</em>, ou segurança por obscuridade.</p> <p class="wp-block-paragraph">A lógica era simples: “Se o nosso código estiver fechado ou compilado, os atacantes vão ter mais dificuldade em perceber como funciona.”</p> <p class="wp-block-paragraph">Mas um programa compilado ou de código fechado, por si só, não constitui uma garantia de proteção. As ferramentas de análise e engenharia inversa continuam a evoluir, e a IA está a acelerar esse processo.</p> <p class="wp-block-paragraph">Já não podemos assumir que algo é seguro apenas porque sempre funcionou da mesma forma.</p> <p class="wp-block-paragraph">A segurança exige várias camadas de proteção, uma arquitetura resiliente, monitorização ativa e a capacidade de responder rapidamente quando surge uma nova ameaça.</p> <h2 id="h-como-respondeu-a-e-goi" class="wp-block-heading"><strong>Como respondeu a E-goi?</strong></h2> <p class="wp-block-paragraph">Assim que o alerta internacional foi lançado, a nossa equipa de Engenharia e Segurança entrou em ação.</p> <p class="wp-block-paragraph">A prioridade foi clara: <strong>proteger os serviços e os dados dos nossos clientes, mantendo a operação a funcionar.</strong></p> <p class="wp-block-paragraph">A resposta combinou mitigação imediata, reforço dos filtros de entrada, aplicação de correções e auditoria da infraestrutura.</p> <h4 id="h-a-nossa-resposta-nas-primeiras-24-horas" class="wp-block-heading">A nossa resposta nas primeiras 24 horas</h4> <ul class="wp-block-list"> <li><strong>21 de outubro:</strong> avaliação dos serviços e servidores potencialmente afetados.</li> <li><strong>21 de outubro, durante a tarde:</strong> desativação preventiva da funcionalidade vulnerável, sem indisponibilidade dos serviços.</li> <li><strong>21 de outubro, durante a tarde:</strong> reforço dos filtros de entrada para bloquear pedidos malformados antes de chegarem às aplicações.</li> <li><strong>21 de outubro, durante a noite:</strong> aplicação das atualizações de segurança disponibilizadas.</li> <li><strong>22 de outubro, durante a manhã:</strong> testes para verificar a eficácia das medidas e auditoria a 369 servidores.</li> <li><strong>22 de outubro, ao longo do dia:</strong> continuação da aplicação das correções e da verificação dos serviços.</li> </ul> <h4 id="h-mitigacao-imediata-sem-parar-o-negocio" class="wp-block-heading">Mitigação imediata sem parar o negócio</h4> <p class="wp-block-paragraph">Antes de atualizar toda a infraestrutura, aplicámos uma medida preventiva: desativamos a funcionalidade vulnerável e recarregamos os serviços de forma controlada.</p> <p class="wp-block-paragraph">Os nossos clientes continuaram a enviar campanhas sem interrupções provocadas por esta intervenção.</p> <h4 id="h-protecao-logo-a-entrada" class="wp-block-heading">Proteção logo à entrada</h4> <p class="wp-block-paragraph">Reforçámos os filtros nos pontos de entrada da infraestrutura para bloquear pedidos anómalos.</p> <p class="wp-block-paragraph">Se um pedido com milhares de cabeçalhos falsos tentasse entrar, era travado antes de chegar aos servidores aplicacionais.</p> <h4 id="h-auditoria-e-procura-de-sinais-de-intrusao" class="wp-block-heading">Auditoria e procura de sinais de intrusão</h4> <p class="wp-block-paragraph">Durante este processo, auditamos os servidores e os restantes componentes da infraestrutura. Cruzamos registos e procurámos ficheiros suspeitos, ligações anómalas e outros sinais de intrusão.</p> <p class="wp-block-paragraph"><strong>A auditoria realizada encontrou tudo limpo como deveria.</strong></p> <h2 id="h-o-que-este-episodio-mostra-sobre-transparencia" class="wp-block-heading"><strong>O que este episódio mostra sobre transparência</strong></h2> <p class="wp-block-paragraph">Quando uma vulnerabilidade desta dimensão se torna pública, avaliar o impacto pode levar tempo. As organizações precisam de identificar os sistemas afetados, aplicar medidas de proteção e investigar eventuais sinais de exploração.</p> <p class="wp-block-paragraph">Na E-goi, acreditamos na transparência, no rigor técnico e na responsabilidade de proteger os dados e a confiança dos nossos clientes todos os dias.</p> <p class="wp-block-paragraph">Ter uma equipa capaz de acompanhar os acontecimentos, avaliar o risco e aplicar medidas de proteção nas primeiras horas após um alerta é essencial para responder a situações como esta.</p> <h2 id="h-o-que-pode-fazer-para-proteger-as-suas-contas-e-o-seu-negocio" class="wp-block-heading"><strong>O que pode fazer para proteger as suas contas e o seu negócio?</strong></h2> <p class="wp-block-paragraph">Os momentos de maior atenção mediática também podem ser aproveitados para tentativas de phishing e engenharia social. Um email que parece ser um alerta de segurança pode, afinal, ser a própria armadilha.</p> <p class="wp-block-paragraph">Por isso, deixamos algumas recomendações práticas:</p> <ul class="wp-block-list"> <li><strong>Reveja a segurança das suas palavras-passe:</strong> se alguma for fraca, reutilizada ou houver suspeita de exposição, altere-a. Um gestor de palavras-passe pode ajudar a criar e guardar credenciais fortes.</li> <li><strong>Nunca reutilize palavras-passe:</strong> a palavra-passe do seu email não deve ser a mesma que utiliza nas redes sociais ou numa loja online. Se um desses serviços for comprometido, as restantes contas podem ficar em risco.</li> <li><strong>Ative a autenticação de dois fatores:</strong> sempre que possível, utilize uma aplicação de autenticação ou configure <em>passkeys</em>, quando disponíveis.</li> <li><strong>Redobre a atenção a emails e links suspeitos:</strong> se receber um email a pedir uma alteração urgente de palavra-passe, a avisar que a conta vai expirar ou a solicitar a abertura de anexos inesperados, pare e confirme a origem. Aceda ao serviço pelo endereço habitual.</li> <li><strong>Mantenha os seus dispositivos atualizados:</strong> instale as atualizações de segurança do sistema operativo, do navegador e das aplicações que utiliza.</li> </ul> <h2 id="h-a-seguranca-e-um-trabalho-diario" class="wp-block-heading"><strong>A segurança é um trabalho diário</strong></h2> <p class="wp-block-paragraph">A segurança da informação exige atenção, melhoria contínua e trabalho em equipa.</p> <p class="wp-block-paragraph">A inteligência artificial está a dar novas capacidades a quem desenvolve e protege tecnologia, mas também a quem procura explorar as suas falhas. A capacidade de detetar, corrigir e responder tem de acompanhar essa evolução.</p> <p class="wp-block-paragraph">Na E-goi, continuamos atentos e a trabalhar para proteger os serviços, os dados e a confiança de quem conta connosco.</p> <div class="saboxplugin-wrap" itemtype="http://schema.org/Person" itemscope itemprop="author"><div class="saboxplugin-tab"><div class="saboxplugin-gravatar"><img decoding="async" src="https://blog.e-goi.com/wp-content/uploads/2023/06/avatar-100x100.jpg" width="100" height="100" srcset="https://blog.e-goi.com/wp-content/uploads/2023/06/avatar-200x200.jpg 2x" alt="Tiago Guedes" class="avatar avatar-100 wp-user-avatar wp-user-avatar-100 alignnone photo" /></div><div class="saboxplugin-authorname"><a href="https://blog.e-goi.com/pt/author/tguedes/" class="vcard author" rel="author"><span class="fn">Tiago Guedes</span></a></div><div class="saboxplugin-desc"><div itemprop="description"><p>Chief Information Security Officer &amp; Senior SysAdmin na E-goi</p> </div></div><div class="clearfix"></div></div></div> https://blog.e-goi.com/pt/php2shell-vulnerabilidades-resposta-egoi/feed/ 0