# O que é o PHP? A linguagem de programação explicada

> O que é o PHP? Como a linguagem de script gera páginas web no servidor, onde corre na empresa e por que razão a sua versão conta para a segurança.

Fonte: https://phpsos.de/pt/php/was-ist-php/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** O PHP é uma linguagem de script de código aberto, utilizada sobretudo em aplicações web. O código corre no servidor, gera aí o HTML e envia ao navegador apenas o resultado. Como muitos CMS, lojas e ferramentas internas assentam no PHP, a versão do PHP no servidor é um fator de segurança por si só, independente da atualização do CMS.

## O que é o PHP? Uma definição em palavras simples

O manual do PHP descreve o PHP como uma linguagem de script muito difundida, de código aberto e de uso geral, particularmente adequada ao desenvolvimento web e que pode ser incorporada em HTML. O nome é um acrónimo recursivo, isto é, uma abreviatura que se contém a si própria: «PHP: Hypertext Preprocessor».

A diferença decisiva em relação ao JavaScript no navegador: o código PHP é executado no servidor. O visitante recebe apenas o resultado final e não vê o código-fonte. Isto torna o PHP adequado a tudo o que tem de permanecer confidencial, como acessos a bases de dados, autenticações ou cálculos de preços.

Segundo o manual, o PHP tem duas áreas principais de utilização: scripts do lado do servidor para sites e scripts na linha de comandos, por exemplo tarefas periódicas através do cron. Ambas se encontram em quase todas as empresas que operam um site próprio, uma loja ou um portal de clientes.

## Onde está o PHP na sua empresa?

O PHP raramente é visível diretamente. Está em software que conhece sob outros nomes. Exemplos típicos:

- **Sistemas de gestão de conteúdos** como WordPress, TYPO3, Joomla, Drupal ou Contao
- **Sistemas de loja** como Shopware, WooCommerce, Magento ou PrestaShop
- **Serviços internos** como Nextcloud, Moodle, MediaWiki ou Matomo
- **Desenvolvimentos próprios** com base em frameworks como Laravel ou Symfony
- **Interfaces web** de equipamentos e de painéis de alojamento

Cada uma destas aplicações precisa de um ambiente de execução PHP instalado, ou seja, o programa que executa o código PHP. Esse ambiente é um software próprio, com atualizações próprias. Atualizar o WordPress ou o Shopware não atualiza o PHP. Por isso, quem opera que sistemas deve constar de um inventário, como descreve o artigo [Inventário de todos os sites e servidores](https://phpsos.de/pt/blog/inventar-websites-server/).

## Qual é o aspeto do código PHP?

O código PHP fica entre as marcas `<?php` e `?>`. Tudo o que está fora delas é emitido sem alterações como HTML. Um pequeno exemplo inofensivo:

```php
<?php
$stunde = (int) date('G');
$gruss  = $stunde < 12 ? 'Guten Morgen' : 'Guten Tag';
?>
<!DOCTYPE html>
<html lang="de">
  <body>
    <p><?= htmlspecialchars($gruss) ?>, heute ist der <?= date('d.m.Y') ?>.</p>
  </body>
</html>
```

O servidor executa a parte PHP e envia ao navegador apenas HTML pronto, por exemplo «Guten Tag, heute ist der 25.10.2026». A função `htmlspecialchars()` converte caracteres especiais e protege assim contra HTML injetado. Estas funções de proteção integradas são uma das razões pelas quais o código PHP bem escrito pode ser seguro.

## De que componentes se compõe um ambiente PHP?

Um site PHP não se resume ao código da aplicação. Várias camadas trabalham em conjunto, e cada uma precisa de manutenção própria:

| Componente | Função | Quem atualiza habitualmente? |
|---|---|---|
| Servidor web (Apache, Nginx, LiteSpeed) | recebe os pedidos vindos da rede | alojador ou administrador do servidor |
| Ambiente de execução PHP (interpretador) | executa o código PHP | alojador, administrador do servidor, fonte de pacotes |
| Extensões | controladores de bases de dados, tratamento de imagens, cifragem | com o ambiente de execução PHP |
| Configuração (`php.ini`) | limites, saída de erros, sessões | administrador do servidor |
| Aplicação (CMS, loja) | conteúdos e lógica de negócio | agência ou equipa própria |
| Plugins e bibliotecas | funções adicionais | agência ou equipa própria |

A ligação entre o servidor web e o PHP chama-se SAPI (Server Application Programming Interface). Se o PHP corre como módulo do Apache, através do PHP-FPM ou como CGI, tem consequências para a operação e para a segurança. Mais informações em [SAPI explicada](https://phpsos.de/pt/php/sapi-erklaert/) e no artigo [Como o PHP gera uma página web](https://phpsos.de/pt/php/wie-php-funktioniert/).

## Por que razão a versão do PHP conta para a segurança

Cada versão do PHP é mantida apenas durante um tempo limitado. Segundo o php.net, cada ramo de versão tem dois anos de suporte ativo e, depois disso, mais dois anos apenas com correções de segurança. Em seguida, o ramo chega ao fim do seu ciclo de vida e deixa de receber atualizações oficiais. Os pormenores estão em [Versões do PHP e ciclo de lançamentos](https://phpsos.de/pt/php/release-zyklus/).

O PHP2Shell mostra a importância disto. Em outubro de 2026 tornaram-se públicas duas vulnerabilidades críticas no próprio PHP, CVE-2026-109618 e CVE-2026-109619, ambas com CVSS v4.0 9,2. Permitem a execução remota de código malicioso sem autenticação. Estão corrigidas no PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Para o PHP 8.1 e anteriores já não existem atualizações oficiais.

Daqui resultam três pontos para quem decide:

1. Uma atualização do CMS não corrige uma falha no PHP. Ambos têm de ser atualizados separadamente.
2. Depois de uma atualização do PHP, todos os processos PHP têm de ser reiniciados, caso contrário o código antigo continua a correr na memória.
3. Um patch não prova que antes não tenha acontecido nada. Em servidores desprotegidos, faz parte do processo uma verificação de vestígios.

> **Importante:**
> Esclareça por escrito quem, na sua empresa, é responsável pelo ambiente de execução PHP: o alojador, a agência ou a TI interna. No caso do PHP2Shell ficou claro que, em muitas empresas, esta questão estava em aberto.

O que é exatamente a falha e quem afeta explica-o a página [O que é o PHP2Shell?](https://phpsos.de/pt/php2shell/was-ist-php2shell/).

## Como ajuda concretamente a PHP SOS?

- **Levantar o inventário:** Apuramos quais dos seus sistemas utilizam PHP, em que versão e em que modo de operação.
- **Esclarecer responsabilidades:** Mostramos que partes são mantidas pelo seu alojador e quais ficam consigo ou com a sua agência.
- **Atualizar:** Através do [serviço de patches PHP](https://phpsos.de/pt/leistungen/php-patch-service/) aplicamos as atualizações, reiniciamos todos os processos e documentamos o estado.
- **Voltar a verificar:** Onde um servidor esteve acessível sem proteção, verificamos se há vestígios de intrusão.


## Perguntas frequentes

**O PHP é uma linguagem de programação ou apenas uma linguagem de script?**  
Ambas as coisas são verdade. O PHP é uma linguagem de programação completa e de uso geral, com funções, classes e tipos. Chama-se-lhe linguagem de script porque o código-fonte não é traduzido previamente para um ficheiro executável, mas processado em tempo de execução pelo interpretador PHP.

**Os visitantes do meu site veem o código PHP?**  
Não. O PHP corre no servidor e o navegador recebe apenas o resultado, geralmente HTML. As exceções resultam de uma configuração errada, por exemplo quando o servidor web entrega os ficheiros PHP como texto ou quando existem cópias de segurança como index.php.bak acessíveis publicamente.

**Como sei se o meu site corre em PHP?**  
A maioria dos CMS e sistemas de loja mais difundidos, como WordPress, TYPO3, Shopware, Joomla ou Nextcloud, está escrita em PHP. Pode confirmá-lo com certeza junto do alojador, da agência ou olhando para a configuração do servidor.

**Como gerente, tenho de compreender o PHP?**  
Não ao pormenor. O importante é saber que o PHP é um software próprio, com atualizações próprias, separado do CMS. Deve ficar estabelecido por escrito quem é responsável pela versão do PHP nos seus servidores.

## Fontes

- [Manual do PHP: introdução](https://www.php.net/manual/en/introduction.php)
- [Manual do PHP: história do PHP](https://www.php.net/manual/en/history.php.php)
- [php.net: versões suportadas](https://www.php.net/supported-versions.php)