Em resumo: a vulnerabilidade do PrestaShop que agora faz manchetes é o PHP2Shell e está no PHP, não na loja. Uma atualização do PrestaShop não ajuda contra ela. Depois do patch do PHP e do reinício, deve verificar a pasta override, os módulos, o checkout e as contas de funcionários.
O que o PHP2Shell significa para os comerciantes PrestaShop
O PrestaShop é uma aplicação PHP difundida entre pequenos e médios comerciantes, muitas vezes em alojamento partilhado ou em servidores virtuais simples. Segundo a equipa do PHP, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem executar código malicioso remotamente sem autenticação, independentemente do estado da loja.
Para uma loja está em jogo muita coisa: contas de clientes, moradas, encomendas, faturas e acessos a serviços de pagamento e de expedição. Nas lojas, os atacantes visam frequentemente o checkout, onde podem ler os dados de pagamento antes de chegarem ao prestador de pagamento.
Acresce o fator tempo. Segundo notícias dos media, foi observada uma primeira tentativa de ataque a 17/10/2026 e os patches surgiram a 21/10/2026. Uma loja que esteve acessível nesse período pode estar afetada, mesmo que hoje tudo pareça normal. Até agora não existem indicadores de comprometimento (IoC) confirmados; os indícios resultam de comportamento invulgar, ficheiros novos e alterações na base de dados.
Vulnerabilidade PrestaShop: verificar a versão do PHP no Back Office
Em Parâmetros avançados > Informações, o PrestaShop mostra dados do servidor e do PHP da instalação em curso. As versões upstream corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os fornecedores de alojamento incorporam por vezes as correções como backport, e o número apresentado mantém-se. Peça que lhe confirmem o estado por escrito.
Quais as versões do PHP que a sua versão do PrestaShop suporta, verifique-o nos requisitos de sistema na documentação do fabricante em prestashop.com. As lojas mais antigas das versões 1.6 e 1.7 correm muitas vezes em versões mais antigas do PHP; nesse caso vale o que consta em Medidas imediatas sem patch, até ser possível uma atualização.
Esconderijos típicos de código malicioso no PrestaShop
| Local | Conteúdo | Ponto de verificação |
|---|---|---|
app/config/parameters.php (versões mais antigas config/settings.inc.php) |
Acesso à base de dados, chave de cookies | Data de alteração, renovar em caso de suspeita |
override/ |
Classes e controladores substituídos | Cada ficheiro tem de ser explicável |
modules/ |
Módulos do marketplace e de terceiros | Módulos desconhecidos, ficheiros alterados |
themes/ |
Templates e JavaScript, também para o checkout | Scripts alheios |
img/, upload/, download/ |
Imagens, uploads de clientes, produtos digitais | Sem ficheiros PHP |
var/cache/, var/logs/ |
Cache e registos | Guardar registos, regenerar a cache |
install/ |
Pasta de instalação | Não pode existir em produção |
A pasta override merece especial atenção. O código aí colocado substitui partes do PrestaShop, por exemplo o processamento de encomendas ou de pagamentos, e não é removido automaticamente nas atualizações.
Verificações inofensivas na linha de comandos e na base de dados (prefixo das tabelas consoante a instalação):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Se os clientes reportarem páginas de pagamento invulgares ou uso indevido de cartões após uma compra, retire o checkout da rede e guarde os registos a partir de 20/10/2026. Um checkout manipulado pode capturar dados em cada compra seguinte.
Back Office, contas de funcionários e módulos
O Back Office fica numa pasta com um nome individual, atribuído na instalação. Verifique em Parâmetros avançados as contas de funcionários e os perfis quanto a acessos desconhecidos ou órfãos, por exemplo de agências anteriores. Se possível, restrinja o diretório admin a redes conhecidas.
Os módulos do marketplace e de terceiros ampliam pagamento, expedição, marketing e interfaces. Cada módulo é código PHP adicional, e os módulos sem manutenção ativa estão entre as portas de entrada mais frequentes nas lojas PrestaShop. Desinstale e apague o que não usa, em vez de apenas o desativar. Verifique também as chaves de webservice da API quanto a entradas desconhecidas.
O que uma atualização do PrestaShop consegue e o que não consegue
Uma atualização do PrestaShop ou de módulos individuais corrige falhas nesse código. Não aplica patch ao PHP, não reinicia processos e não remove overrides, módulos alheios, scripts no tema nem novas contas de funcionários. Se foram capturados dados pessoais, pode além disso existir um dever de notificação; informações gerais oferece o Dever de notificação do RGPD: 72 horas, e a avaliação do caso concreto cabe ao seu encarregado de proteção de dados. O que os comerciantes devem ainda ter em conta resume-o Segurança informática para lojas online.
Em lojas com vários países ou com função multistore, correm muitas vezes vários domínios na mesma instalação. Uma descoberta afeta então todas as lojas, mesmo que a anomalia só tenha sido notada numa.
Como ajuda concretamente a PHP SOS?
- Esclarecemos com o seu fornecedor de alojamento o estado do PHP, o backport e o reinício.
- Guardamos registos, ficheiros e base de dados e documentamos o estado inicial.
- Verificamos overrides, módulos, tema, pastas de upload, contas de funcionários e chaves de webservice.
- Em caso de descobertas, a nossa remoção de malware assegura a limpeza e a renovação dos acessos.
Perguntas frequentes
Uma atualização do PrestaShop corrige o PHP2Shell?
Não. As atualizações do PrestaShop corrigem falhas no código da loja. As vulnerabilidades do PHP2Shell estão no interpretador PHP e só são corrigidas por uma atualização do PHP ou por um backport confirmado, com reinício de todos os processos PHP.
Onde vejo a versão do PHP no PrestaShop?
No Back Office, em Parâmetros avançados > Informações. Aí constam os dados do servidor e do PHP. Um backport aplicado não se reconhece pelo número; isso é confirmado pelo seu fornecedor de alojamento.
O que é a pasta override e porque verificá-la?
Na pasta override podem ser substituídas classes e controladores do PrestaShop. O código aí colocado corre em vez do original, por exemplo no checkout. Overrides desconhecidos são, por isso, um ponto de verificação importante perante uma suspeita.
O diretório admin tem de estar renomeado?
O PrestaShop atribui, na instalação, um nome próprio ao diretório admin. Isso dificulta encontrá-lo, mas não substitui palavras-passe fortes, autenticação de dois fatores nem restrição de acesso.