# Cibersegurança para PME e indústria: ter os sistemas PHP sob controlo

> Portal de revendedores, loja B2B, configurador: como PME e indústria encontram sistemas PHP, aplicam patches ao PHP2Shell e documentam para a NIS2.

Fonte: https://phpsos.de/pt/branchen/mittelstand-industrie/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** na cibersegurança das PME, o PHP2Shell raramente falha por causa do patch, mas sim por falta de visão de conjunto. Além do site, correm portais de revendedores, configuradores, páginas de carreiras e wikis internas em prestadores diferentes. Só uma lista completa torna o risco controlável e comprovável perante clientes e autoridades de supervisão.

## Sistemas PHP típicos em empresas de média dimensão

Ao longo dos anos acumulam-se nas empresas industriais muitas aplicações baseadas na web: lojas B2B de peças sobressalentes, portais de revendedores e parceiros com tabelas de preços, configuradores de produtos, áreas de download de documentação técnica e dados CAD, portais de reclamações e de serviço, páginas de carreiras com gestão de candidatos. Internamente juntam-se wikis como o [MediaWiki](https://phpsos.de/pt/plattformen/mediawiki/), ferramentas de tickets e análise web.

Uma grande parte corre em PHP. Os sistemas foram muitas vezes encomendados por departamentos, construídos por agências e operados em fornecedores de alojamento que a TI central não conhece. É precisamente aí que está, perante uma vulnerabilidade como o PHP2Shell, o verdadeiro problema.

## Que dados e ligações podem estar afetados

Nos portais existem condições de clientes, interlocutores nos revendedores, dados de propostas e de encomendas, bem como desenhos sujeitos a acordos de confidencialidade. Os portais de candidatos contêm currículos e certificados. Para concorrentes e extorsionistas, os dados de construção e as estruturas de preços são muitas vezes mais valiosos do que os dados pessoais.

As ligações são críticas: muitos portais trocam dados com o ERP, a gestão de mercadorias ou o PIM. Quem executa código num servidor web deste tipo encontra aí credenciais de interfaces, de bases de dados ou de VPN. Um portal comprometido pode assim tornar-se a porta de entrada para a rede da empresa.

## PME e cibersegurança: cadeia de abastecimento e NIS2

Com a [NIS2](https://phpsos.de/pt/compliance/nis2/), aplicam-se a muitas empresas obrigações alargadas de gestão de risco e de notificação de incidentes de segurança significativos. Se a sua empresa está diretamente abrangida depende do setor e da dimensão. Indiretamente estão-no muitas mais, porque os clientes transmitem requisitos de segurança aos seus fornecedores através de contratos.

Para a gestão de topo junta-se a questão da própria responsabilidade. O que em geral se aplica a este respeito, explica-o a página sobre a [responsabilidade da administração](https://phpsos.de/pt/compliance/geschaeftsfuehrer-haftung/). A avaliação em cada caso concreto pertence ao seu aconselhamento jurídico.

> **Importante:**
> A Palo Alto Networks (Unit 42) contou mais de 22,6 milhões de instâncias expostas e potencialmente vulneráveis. Um sistema de teste esquecido de uma agência é tão visível para as varreduras automatizadas como o seu site principal.

## A típica lacuna de responsabilidade nas PME

| Área | Quem decide muitas vezes | O que falta |
|---|---|---|
| Site da empresa | Marketing com agência | Comprovativo de patch do PHP |
| Portal de revendedores, loja B2B | Vendas com prestador | Integração no conceito de segurança informática |
| Página de carreiras | Pessoal com fornecedor | Clareza sobre alojamento e dados |
| Ferramentas internas | departamentos individuais | Inventário e responsáveis |

A TI central é responsável pela rede, pelos postos de trabalho e pelo ERP, mas muitas vezes não tem acesso a sistemas alojados externamente. Este padrão torna-se um estrangulamento a cada vulnerabilidade crítica. Resolve-o uma regra simples: qualquer aplicação web que trate dados da empresa é comunicada à TI, com operador e interlocutor, antes de entrar em linha.

## Separar corretamente o servidor web e a rede de produção

Na indústria juntam-se aplicações web que comunicam com máquinas e instalações: portais de serviço e de manutenção remota, painéis com dados de máquinas, portais para clientes que consultam o estado das instalações que lhes foram fornecidas. Algumas delas são construídas em PHP e situam-se numa zona de rede com mais ligações do que as necessárias para a tarefa.

Um servidor web comprometido não pode ser um trampolim para a produção. Verifique que ligações existem entre as zonas de rede dos servidores web e as redes de escritório e de produção e limite-as ao necessário. As credenciais guardadas em servidores web devem ter apenas os direitos de que a aplicação realmente precisa. Nos acessos de manutenção remota, isso aplica-se em especial.

## Primeiras horas para a direção de TI e a administração

1. Criar um inventário de todos os sistemas PHP acessíveis externamente: domínio, operador, versão do PHP, modo de operação, interlocutor.
2. Tratar primeiro os sistemas com mod_php e os que estão em PHP 8.1 ou anterior. No mod_php, a equipa do PHP classifica o risco como o mais elevado.
3. Para cada sistema, pedir por escrito a confirmação do patch para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou do backport, e do reinício. O que não puder ser confirmado, desligar temporariamente da rede.
4. Guardar os registos desde 20/10/2026 e verificar as ligações dos servidores web à rede interna.
5. Documentar sucintamente o estado, para poder responder de forma comprovável a clientes, seguradora e, se for caso disso, autoridades.

## Como ajuda concretamente a PHP SOS?

- Elaboramos, em conjunto com a TI e os departamentos, o inventário dos sistemas PHP e estabelecemos prioridades por risco.
- Coordenamos patches e reinícios com agências e fornecedores de alojamento e reunimos os comprovativos num único local.
- Em caso de suspeita, assumimos a [resposta a incidentes](https://phpsos.de/pt/leistungen/incident-response/) estruturada, com preservação de vestígios e verificação das ligações à rede da empresa.
- Depois, oferecemos uma [auditoria de segurança ou um teste de intrusão](https://phpsos.de/pt/leistungen/sicherheitsaudit-penetrationstest/) realizado por parceiros especializados, cujo resultado pode apresentar aos clientes.
- Se desejar, vigiamos os sistemas de forma contínua, para que o inventário se mantenha atualizado.


## Perguntas frequentes

**A nossa empresa está abrangida pela NIS2?**  
Depende do setor, da dimensão da empresa e do volume de negócios e tem de ser verificado caso a caso. Mesmo quem não está diretamente abrangido pela NIS2 sente muitas vezes os requisitos através de clientes na cadeia de abastecimento. O enquadramento vinculativo esclarece-o com o seu aconselhamento jurídico.

**Pode um servidor web comprometido levar à rede da empresa?**  
É possível, se o servidor web tiver ligações à rede interna, por exemplo interfaces com o ERP, credenciais partilhadas ou um túnel VPN. Se é o seu caso, mostra-o uma verificação das ligações de rede e das credenciais guardadas.

**Como encontramos todas as aplicações PHP da empresa?**  
O ponto de partida são registos DNS, certificados, faturas de alojamento e contratos com agências. Ajudam, em complemento, inquéritos em marketing, vendas, serviço e pessoal. Na maioria das vezes surgem sistemas que o departamento de TI nem conhecia.

**O que esperam de nós, como fornecedor, os clientes depois do PHP2Shell?**  
Alguns clientes perguntam ativamente se os seus fornecedores foram afetados e como reagiram. É útil uma exposição concisa e comprovável: que sistemas, que nível de patch, quando foi reiniciado, que verificações de comprometimento. Prometer mais do que o comprovado prejudica.

## Fontes

- [BSI: avisos e recomendações](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: avisos de segurança](https://www.php.net/)
- [TechTarget: PHP2Shell, 22 milhões de servidores expostos](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)