O alarme soou esta terça-feira. Foram descobertas duas vulnerabilidades críticas no PHP, uma linguagem de programação usada em múltiplos sites. As três letras são sinónimo de um dos pilares da internet, assegurando o funcionamento de 70% dos sites globais.

No alerta feito pela equipa de segurança do PHP foi explicado que as vulnerabilidades, batizadas de “php2shell”, permitem “executar código de forma remota”. Além disso, têm a particularidade de estar na própria linguagem e não numa atualização específica. Assim, um ataque que consiga explorá-las abre a porta a consequências como sistemas comprometidos, dados expostos, interrupção de serviço ou até a possibilidade de “saltar” para outro servidor.

O aviso, que foi replicado por autoridades de cibersegurança em vários países (Portugal incluído), veio acompanhado de uma atualização para corrigir as vulnerabilidades. A instrução é direta ao assunto: “Recomenda-se vivamente a todos os utilizadores de PHP que efetuem a atualização imediatamente“. “Não há mitigações completas, atualizar é a única escolha segura.”

Assim que foi disponibilizada a correção, diversos sites em vários pontos do globo ficaram indisponíveis para que fosse feita a atualização, da Wikipédia a vários sites governamentais.

Os especialistas de cibersegurança alertam para a gravidade destas vulnerabilidades, que deixam uma boa parte da internet à mercê de ataques informáticos. Há até quem vá mais longe e afirme que esta falha arrisca “tornar-se uma das vulnerabilidades mais importantes de 2026”.

O que é o PHP?

O PHP (pré-processador de hipertexto) é uma linguagem de programação muito usada em sites, aplicações web e plataformas de compras online. Foi criado pelo programador Rasmus Lerdorf, em 1993.

A empresa de cibersegurança Check Point usa a analogia de um restaurante para explicar a importância do PHP. Se o navegador, por exemplo o Chrome ou o Firefox, é o “balcão que o cliente vê”, o PHP trabalha na cozinha a organizar o que chega à mesa.

Como foram descobertas as vulnerabilidades? E qual é o nível de gravidade?

A inteligência artificial (IA) foi usada para detetar as vulnerabilidades, com os investigadores de cibersegurança a servirem-se de modelos da OpenAI. Primeiro, os da empresa de segurança Calif encontraram uma falha usando o modelo GPT-5.6 Sol. A Wiz, comprada pela Google em 2025, também “descobriu e comunicou ambas as vulnerabilidades de forma autónoma”.