Todas as lojas Magento que alojamos e gerimos foram atualizadas contra o PHP2Shell, as duas vulnerabilidades críticas do PHP (CVE-2026-109618 e CVE-2026-109619) divulgadas a 21 de outubro de 2026. Se a sua loja está nos nossos servidores, não precisa de fazer nada.
O que é o PHP2Shell
O PHP2Shell é um par de falhas no próprio PHP, não no Magento nem em nenhuma extensão. Afetam todos os servidores com PHP 5.4 ou posterior, tanto em Apache como em PHP-FPM, e permitem a um atacante executar código no servidor sem iniciar sessão. Os investigadores demonstraram um ataque funcional contra uma instalação limpa do Magento 2.4.9, e as primeiras tentativas de ataque foram detetadas antes mesmo de a correção ser lançada.
Como o PHP lê cada pedido antes de o código da loja ser executado, nem o modo de manutenção do Magento, nem as extensões de segurança, nem os filtros ao nível da loja o conseguem travar. A verdadeira correção é atualizar o PHP no servidor.
O que fizemos
Assim que as versões corrigidas do PHP foram lançadas, atualizámos o PHP em todos os servidores que gerimos, pelo que todas as lojas com uma versão do PHP suportada estão agora totalmente corrigidas.
Lojas com versões antigas do PHP
O PHP só lança correções de segurança para a versão 8.2 e posteriores. As lojas que ainda usam versões anteriores, como o PHP 7.2, não recebem uma correção oficial. Nessas lojas aplicámos uma proteção temporária que bloqueia as vias de ataque conhecidas, mas é uma medida provisória, não uma correção definitiva.
A única solução duradoura é passar a loja para uma versão do PHP suportada, o que nas lojas mais antigas normalmente implica também atualizar o Magento. Se a sua loja está neste grupo, fale connosco para planear a atualização.
Não está alojado connosco?
- Atualize o PHP em todos os servidores já, ou peça ao seu fornecedor de alojamento que o faça hoje. Não é possível corrigir isto a partir do Magento.
- Em PHP 8.1 ou anterior não há correção oficial. Peça ao seu fornecedor uma correção adaptada (backport) ou a passagem para uma versão suportada.
- Confirme primeiro que ninguém entrou. O nosso WhizzyScan gratuito verifica os ficheiros e a base de dados em busca de webshells e backdoors:
curl https://shopwhizzy.com/gowiz/external/agent | sh
Os detalhes técnicos completos estão no alerta da Sansec sobre o PHP2Shell.