Em resumo: uma vulnerabilidade no site de um município é um incidente com visibilidade pública. Esclareça quem opera o servidor, peça a confirmação do patch do PHP e do reinício e tenha pronta uma página de emergência, caso o site tenha de sair temporariamente da rede. A comunicação aos cidadãos e à imprensa deve estar articulada antes de surgirem perguntas.
Que sistemas PHP os municípios operam tipicamente
Muitos sites municipais correm em TYPO3, além de outros sistemas PHP. À volta do site principal surgem outras aplicações: formulários online para requerimentos e inscrições, plataformas de comunicação de anomalias, calendários de eventos, participação dos cidadãos, portais de emprego, pré-inscrição em creches (Kita), páginas de turismo, catálogos de bibliotecas e sites de instituições individuais, como a escola de música ou os serviços municipais (Stadtwerke).
Algumas destas aplicações são operadas pelo próprio município, outras por um centro de dados municipal, por uma associação de municípios (Zweckverband) ou por um fabricante de aplicações especializadas. Quem quer fechar uma vulnerabilidade no PHP tem primeiro de saber em cujos servidores corre cada aplicação.
Os municípios mais pequenos não têm muitas vezes departamento de TI próprio. Aí, um colaborador do serviço central de administração (Hauptamt) cuida do site nas horas vagas, a tecnologia está numa agência e os contratos datam de uma época em que ninguém pensava em vulnerabilidades críticas na linguagem de programação. As cidades maiores têm o problema inverso: tantos sites de serviços, projetos e instituições que quase ninguém conhece a lista completa.
O que está em jogo nos sites municipais
Nos formulários e portais estão dados de cidadãos: moradas, datas de nascimento, indicações sobre crianças nas inscrições em creches e escolas, fotografias e localizações em comunicações de anomalias, candidaturas. Para os organismos públicos aplicam-se o RGPD e a lei de proteção de dados do estado federado; é competente, em regra, a autoridade de supervisão da proteção de dados do estado federado.
Pelo menos tão grave é a integridade: o site de um município é uma fonte oficial. Conteúdos manipulados, avisos públicos falsificados ou redirecionamentos para páginas fraudulentas em nome da cidade prejudicam a confiança muito para além do dano técnico.
Os domínios municipais gozam de confiança junto dos cidadãos e dos motores de pesquisa. É precisamente isso que os torna atrativos para os atacantes: como remetente de spam, como depósito de páginas fraudulentas ou como plataforma para notícias falsas, por exemplo sobre eleições, temporais ou taxas.
Município e vulnerabilidade do site: quem decide o quê?
| Papel | Tarefa típica no incidente |
|---|---|
| Centro de dados municipal ou prestador de TI | Servidor, pacotes PHP, reinício, separação da rede |
| Serviço central de administração (Hauptamt) ou coordenação de TI | Direção geral, contratação, plano de emergência |
| Gabinete de imprensa | Informação a cidadãos e meios de comunicação |
| Encarregado da proteção de dados da administração | Avaliação da obrigação de notificação |
| Agência web | CMS, extensões, conteúdos |
A lacuna surge muitas vezes entre o centro de dados e a agência: o centro de dados opera o servidor, a agência mantém o TYPO3 e cada lado supõe que o outro trata do PHP. Uma atualização do TYPO3 não fecha o PHP2Shell.
O BSI (Gabinete Federal Alemão para a Segurança da Informação) avaliou a situação com o nível de alerta 3 / laranja e recomenda a atualização imediata. Se um servidor web municipal não puder receber o patch de imediato, desligue-o temporariamente da rede e ative uma página de emergência estática.
As primeiras horas na administração
- Listar todos os sites e aplicações especializadas com acesso web, incluindo instituições e turismo.
- Pedir ao respetivo operador a confirmação por escrito: PHP em 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou backport instalado, todos os processos reiniciados.
- Desligar da rede os sistemas não confirmados ou protegê-los até ao patch com patching virtual. A Cloudflare chama a atenção para o facto de regras baseadas apenas nos dados do pedido não bastarem; é uma ponte, não um substituto.
- Guardar os registos desde 20/10/2026.
- Informar o gabinete de imprensa e o encarregado da proteção de dados e articular uma linha de comunicação objetiva. Ajuda para isso oferece a página sobre comunicação de crise.
O que o BSI recomenda em pormenor, resume-o a página Recomendações do BSI sobre o PHP2Shell. As questões de contratação pública e de adjudicação urgente esclareça-as segundo as suas regras internas.
Prevenção: página de emergência, inventário e substituição
A próxima vulnerabilidade crítica virá de certeza. Três preparativos poupam então horas: uma página de emergência estática já pronta, com números de telefone, horários de funcionamento e indicações para assuntos urgentes, que possa ser servida sem PHP. Um inventário atualizado de todas as aplicações web, com operador, interlocutor e base contratual. E uma regra de substituição, para que decisões como desligar o site também possam ser tomadas à noite e ao fim de semana.
Estes pontos pertencem ao plano de emergência de TI da administração. As empresas municipais, os serviços municipais e as instituições com sites próprios devem constar expressamente dele, porque de outro modo faltam no levantamento.
Como ajuda concretamente a PHP SOS?
- Apoiamos a sua coordenação de TI no inventário e esclarecemos com o centro de dados, os fabricantes e a agência quem aplica o patch a cada sistema.
- Onde opera por si, assumimos, através do serviço de patches PHP, a atualização, o reinício e o comprovativo escrito.
- Em caso de suspeita de comprometimento, preservamos vestígios e verificamos os conteúdos quanto a manipulação antes de o site voltar a ficar em linha.
- Documentamos o processo de forma a que o encarregado da proteção de dados, a direção da administração e a auditoria de contas o possam acompanhar.
Perguntas frequentes
Podemos simplesmente desligar o site do município?
O BSI recomenda desligar temporariamente os servidores web da rede quando a atualização não é possível de imediato. Para os municípios, é indicada uma página de emergência estática com as principais vias de contacto. Quem pode decidir isso internamente deve constar do plano de emergência.
O sistema de informação do conselho municipal está afetado?
Depende da tecnologia e da operação. Os sistemas de informação do conselho e os serviços online são muitas vezes operados por fabricantes de aplicações especializadas ou por centros de dados municipais. Pergunte aí, em concreto, pela utilização do PHP, pelo nível de patch e pelo reinício.
Que autoridade de proteção de dados é competente para os municípios?
Para os organismos públicos dos estados federados e dos municípios alemães é, em regra, competente a autoridade de supervisão da proteção de dados do respetivo estado federado. Além disso, aplicam-se as leis de proteção de dados dos estados federados. O seu encarregado da proteção de dados da administração conhece as vias de notificação.