Se tem acompanhado as notícias de tecnologia, é provável que tenha ouvido falar de um terramoto que abalou a internet nos últimos dois dias. Talvez tenha apenas visto passar dois códigos estranhos: CVE-2026-109618 e CVE-2026-109619, já apelidados informalmente de “PHP2Shell”. Duas vulnerabilidades que levaram várias organizações a suspender serviços por prevenção.
Não se tratou de um pequeno bug num site qualquer, mas de duas vulnerabilidades críticas que estiveram adormecidas durante mais de uma década, desde 2011/2012, no coração do PHP, a linguagem e o motor que servem de base a uma grande parte dos sites da internet, desde blogs em WordPress até plataformas de comércio eletrónico.
Queremos partilhar consigo o que aconteceu, como respondemos e o que este episódio nos mostra sobre o futuro da segurança digital.
Para quem não é de código: o que é, afinal, o “PHP2Shell”?
Para perceber a gravidade disto sem precisar de um curso de engenharia de software, pense no PHP como o motor de um carro e na internet como uma autoestrada.
Há cerca de 15 anos, os criadores do PHP adicionaram uma funcionalidade chamada session.upload_progress, cujo objetivo era simples: quando um utilizador envia um ficheiro pesado, como uma fotografia ou um vídeo, através de um formulário web, o servidor calcula a percentagem do envio para poder mostrar aquela clássica barra de progresso: 20%, 50%, 100%.
O problema? No código interno em C, a linguagem que constrói o próprio motor do PHP, havia uma falha subtil na forma como a memória era limpa quando acontecia um erro.
Se um atacante enviasse um pedido web propositadamente malformado, com milhares de cabeçalhos falsos ou dados desorganizados, o servidor podia esgotar a memória e entrar num estado chamado Out of Memory.
Em vez de fechar a porta e trancar tudo de forma segura, o motor deixava referências de memória “fantasmas” penduradas e perdidas. Num segundo pedido, o atacante podia aproveitar esse espaço de memória para introduzir as suas próprias instruções.
O resultado prático? O que em segurança se chama RCE, ou execução remota de código: o invasor ganha a capacidade de executar comandos no servidor com as permissões do processo afetado.
Um simples formulário web público podia transformar-se numa porta de entrada para controlar um servidor.
Porque é que isto só foi descoberto 15 anos depois?
Esta é uma das partes mais fascinantes e preocupantes deste episódio.
O código do PHP é open source. Está disponível publicamente há décadas. Ao longo de 15 anos, aquelas linhas passaram por revisões, auditorias e testes de segurança sem que estas falhas fossem identificadas.
O que mudou? A inteligência artificial e o poder computacional colocado ao serviço da análise de código estão a ampliar a capacidade de encontrar problemas que antes exigiam muito mais tempo e trabalho humano.
Modelos de linguagem avançados, combinados com ferramentas automáticas de análise de código e fuzzing, que testa programas com grandes volumes de dados inesperados ou malformados, permitem explorar comportamentos complexos a uma escala diferente.
A IA está a acelerar a leitura, a análise e a correlação de fluxos de execução. Isso ajuda quem protege os sistemas, mas também pode dar mais capacidade a quem procura atacá-los.
Uma mudança de paradigma: código fechado não garante segurança
Durante décadas, parte da indústria apoiou-se numa ideia confortável: a chamada security through obscurity, ou segurança por obscuridade.
A lógica era simples: “Se o nosso código estiver fechado ou compilado, os atacantes vão ter mais dificuldade em perceber como funciona.”
Mas um programa compilado ou de código fechado, por si só, não constitui uma garantia de proteção. As ferramentas de análise e engenharia inversa continuam a evoluir, e a IA está a acelerar esse processo.
Já não podemos assumir que algo é seguro apenas porque sempre funcionou da mesma forma.
A segurança exige várias camadas de proteção, uma arquitetura resiliente, monitorização ativa e a capacidade de responder rapidamente quando surge uma nova ameaça.
Como respondeu a E-goi?
Assim que o alerta internacional foi lançado, a nossa equipa de Engenharia e Segurança entrou em ação.
A prioridade foi clara: proteger os serviços e os dados dos nossos clientes, mantendo a operação a funcionar.
A resposta combinou mitigação imediata, reforço dos filtros de entrada, aplicação de correções e auditoria da infraestrutura.
A nossa resposta nas primeiras 24 horas
- 21 de outubro: avaliação dos serviços e servidores potencialmente afetados.
- 21 de outubro, durante a tarde: desativação preventiva da funcionalidade vulnerável, sem indisponibilidade dos serviços.
- 21 de outubro, durante a tarde: reforço dos filtros de entrada para bloquear pedidos malformados antes de chegarem às aplicações.
- 21 de outubro, durante a noite: aplicação das atualizações de segurança disponibilizadas.
- 22 de outubro, durante a manhã: testes para verificar a eficácia das medidas e auditoria a 369 servidores.
- 22 de outubro, ao longo do dia: continuação da aplicação das correções e da verificação dos serviços.
Mitigação imediata sem parar o negócio
Antes de atualizar toda a infraestrutura, aplicámos uma medida preventiva: desativamos a funcionalidade vulnerável e recarregamos os serviços de forma controlada.
Os nossos clientes continuaram a enviar campanhas sem interrupções provocadas por esta intervenção.
Proteção logo à entrada
Reforçámos os filtros nos pontos de entrada da infraestrutura para bloquear pedidos anómalos.
Se um pedido com milhares de cabeçalhos falsos tentasse entrar, era travado antes de chegar aos servidores aplicacionais.
Auditoria e procura de sinais de intrusão
Durante este processo, auditamos os servidores e os restantes componentes da infraestrutura. Cruzamos registos e procurámos ficheiros suspeitos, ligações anómalas e outros sinais de intrusão.
A auditoria realizada encontrou tudo limpo como deveria.
O que este episódio mostra sobre transparência
Quando uma vulnerabilidade desta dimensão se torna pública, avaliar o impacto pode levar tempo. As organizações precisam de identificar os sistemas afetados, aplicar medidas de proteção e investigar eventuais sinais de exploração.
Na E-goi, acreditamos na transparência, no rigor técnico e na responsabilidade de proteger os dados e a confiança dos nossos clientes todos os dias.
Ter uma equipa capaz de acompanhar os acontecimentos, avaliar o risco e aplicar medidas de proteção nas primeiras horas após um alerta é essencial para responder a situações como esta.
O que pode fazer para proteger as suas contas e o seu negócio?
Os momentos de maior atenção mediática também podem ser aproveitados para tentativas de phishing e engenharia social. Um email que parece ser um alerta de segurança pode, afinal, ser a própria armadilha.
Por isso, deixamos algumas recomendações práticas:
- Reveja a segurança das suas palavras-passe: se alguma for fraca, reutilizada ou houver suspeita de exposição, altere-a. Um gestor de palavras-passe pode ajudar a criar e guardar credenciais fortes.
- Nunca reutilize palavras-passe: a palavra-passe do seu email não deve ser a mesma que utiliza nas redes sociais ou numa loja online. Se um desses serviços for comprometido, as restantes contas podem ficar em risco.
- Ative a autenticação de dois fatores: sempre que possível, utilize uma aplicação de autenticação ou configure passkeys, quando disponíveis.
- Redobre a atenção a emails e links suspeitos: se receber um email a pedir uma alteração urgente de palavra-passe, a avisar que a conta vai expirar ou a solicitar a abertura de anexos inesperados, pare e confirme a origem. Aceda ao serviço pelo endereço habitual.
- Mantenha os seus dispositivos atualizados: instale as atualizações de segurança do sistema operativo, do navegador e das aplicações que utiliza.
A segurança é um trabalho diário
A segurança da informação exige atenção, melhoria contínua e trabalho em equipa.
A inteligência artificial está a dar novas capacidades a quem desenvolve e protege tecnologia, mas também a quem procura explorar as suas falhas. A capacidade de detetar, corrigir e responder tem de acompanhar essa evolução.
Na E-goi, continuamos atentos e a trabalhar para proteger os serviços, os dados e a confiança de quem conta connosco.