Neste artigo
O que é o PHP2Shell
PHP2Shell é o nome dado a duas falhas no próprio PHP, CVE-2026-109618 e CVE-2026-109619, cada uma com nota 9,2 em 10. Segundo a Sansec, todas as versões do PHP desde a 5.4 (2012) são afetadas, tanto com Apache mod_php como com PHP-FPM, nas definições de origem. O ataque é um pedido de envio de ficheiros preparado de propósito, que o PHP lê antes de o código da loja sequer arrancar. Por isso um Magento, WordPress ou Shopware totalmente atualizado está tão exposto como um esquecido.
Há duas coisas que o tornam pior do que o habitual. O modo de manutenção não ajuda, porque o PHP lê o pedido antes de a aplicação verificar o modo. E além de correr código, a falha pode revelar memória de pedidos anteriores: palavras-passe, sessões, chaves de API e até chaves privadas TLS. O aviso oficial do PHP diz que não há forma completa de mitigar e que atualizar é a única correção total. Foram reportados ataques reais em poucas horas.
Porque é que as lojas WhizzyCommerce não são afetadas
A WhizzyCommerce não usa PHP. Nem nas lojas, nem no checkout, nem no painel. Uma falha no motor do PHP não tem onde correr.
Não tem nada a fazer. Nenhuma atualização para instalar, nenhuma definição para mudar, nenhuma chave para trocar por causa disto. Servidores, atualizações de segurança e o software por trás de cada loja são trabalho nosso, e é para isso que serve uma plataforma alojada: a próxima falha ao nível do motor, seja em que linguagem for, somos nós que a corrigimos, não o lojista.
Se ainda tem uma loja em PHP: o que fazer hoje
- 1
Atualize o PHP já
As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Atualizar o Magento ou os plugins não resolve; é o próprio PHP que tem de mudar. Em alojamento gerido, peça ao fornecedor que confirme a versão por escrito.
- 2
Com PHP 8.1 ou mais antigo, planeie o salto
As versões antigas não recebem correção. Normalmente isso obriga a atualizar também o software da loja, por isso comece hoje e, entretanto, proteja o servidor com o passo seguinte.
- 3
Até poder atualizar, bloqueie envios no servidor web
A Sansec sugere rejeitar pedidos multipart/form-data no nginx ou Apache, ou servir apenas GET e HEAD. Ambos estragam formulários e envios de ficheiros, por isso teste o checkout a seguir. Ligar o modo de manutenção da aplicação não chega.
- 4
Assuma que podem ter saído segredos
Se o servidor correu um PHP sem correção a partir de 20 de outubro, mude as palavras-passe da base de dados e do admin, troque as chaves de pagamento e de API e pondere substituir o certificado TLS. Procure ficheiros PHP que não reconheça em pastas com escrita, como pub/media.
- 5
Limpe o que ficou para trás
Scripts de instalação antigos, ferramentas de teste e importadores esquecidos na raiz do site são a primeira coisa que um atacante chama quando consegue correr código. Se usou o nosso conector de Magento, confirme que o pub/whizzy/import.php foi apagado.
Mudar do Magento para a WhizzyCommerce
Muitos lojistas atualizam o PHP esta semana e decidem que é a última vez. Se é o seu caso, é assim uma mudança para a WhizzyCommerce. Depois disso não há PHP para corrigir, nem servidor, nem atualizações de segurança na sua lista: essa parte é nossa.
Peça em mudar do Magento e respondemos num dia útil. Antes da mudança, leia como sair do Magento sem perder posições no Google e, se a sua versão está a perder suporte, o fim de vida do Magento 2.
- Feita por nós, grátis. Nas primeiras 100 lojas que saem do Magento, uma pessoa da nossa equipa faz a mudança, confere o que veio e entrega-lhe a loja pronta a abrir.
- Vem a loja inteira. Categorias, produtos com variantes e fotografias, clientes, encomendas e promoções. Os clientes definem uma nova palavra-passe no primeiro login, e as encomendas chegam como histórico, sem nada para enviar nem reembolsar.
- Primeiro um ensaio. O importador mostra o que vai trazer antes de escrever o que quer que seja, e é um único ficheiro no seu Magento que apaga no fim.
- As posições no Google ficam. Os endereços antigos de produtos e categorias seguem para as novas páginas com redirecionamentos 301, incluindo os redirecionamentos do próprio Magento.
- Grátis até vender. Sem mensalidade no plano Free; só paga uma pequena taxa quando entra uma encomenda.
Perguntas
A minha loja WhizzyCommerce é afetada pelo PHP2Shell?
Não. A WhizzyCommerce não usa PHP em lado nenhum, por isso a falha não tem onde correr. Não há nada a atualizar nem a mudar.
Atualizar o Magento chega para corrigir o PHP2Shell?
Não. A falha está no próprio PHP, por baixo do Magento. Atualize o PHP para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou bloqueie envios multipart no servidor web até o conseguir fazer.
O modo de manutenção do Magento protege contra o PHP2Shell?
Não. O PHP lê o pedido antes de o Magento verificar o modo de manutenção, por isso o ataque passa na mesma. Só ajuda atualizar o PHP ou bloquear os pedidos no servidor web.
