# Vulnerabilidade PrestaShop PHP2Shell: como proteger a sua loja > Proteger o PrestaShop após o PHP2Shell: verificar a versão do PHP, controlar as pastas override e modules e proteger o diretório admin e as contas de funcionários. Fonte: https://phpsos.de/pt/plattformen/prestashop/ Atualizado em: 25/10/2026 Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6 **Em resumo:** a vulnerabilidade do PrestaShop que agora faz manchetes é o PHP2Shell e está no PHP, não na loja. Uma atualização do PrestaShop não ajuda contra ela. Depois do patch do PHP e do reinício, deve verificar a pasta `override`, os módulos, o checkout e as contas de funcionários. ## O que o PHP2Shell significa para os comerciantes PrestaShop O PrestaShop é uma aplicação PHP difundida entre pequenos e médios comerciantes, muitas vezes em alojamento partilhado ou em servidores virtuais simples. Segundo a equipa do PHP, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 permitem executar código malicioso remotamente sem autenticação, independentemente do estado da loja. Para uma loja está em jogo muita coisa: contas de clientes, moradas, encomendas, faturas e acessos a serviços de pagamento e de expedição. Nas lojas, os atacantes visam frequentemente o checkout, onde podem ler os dados de pagamento antes de chegarem ao prestador de pagamento. Acresce o fator tempo. Segundo notícias dos media, foi observada uma primeira tentativa de ataque a 17/10/2026 e os patches surgiram a 21/10/2026. Uma loja que esteve acessível nesse período pode estar afetada, mesmo que hoje tudo pareça normal. Até agora não existem indicadores de comprometimento (IoC) confirmados; os indícios resultam de comportamento invulgar, ficheiros novos e alterações na base de dados. ## Vulnerabilidade PrestaShop: verificar a versão do PHP no Back Office Em **Parâmetros avançados > Informações**, o PrestaShop mostra dados do servidor e do PHP da instalação em curso. As versões upstream corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Os fornecedores de alojamento incorporam por vezes as correções como backport, e o número apresentado mantém-se. Peça que lhe confirmem o estado por escrito. Quais as versões do PHP que a sua versão do PrestaShop suporta, verifique-o nos requisitos de sistema na documentação do fabricante em prestashop.com. As lojas mais antigas das versões 1.6 e 1.7 correm muitas vezes em versões mais antigas do PHP; nesse caso vale o que consta em [Medidas imediatas sem patch](https://phpsos.de/pt/php2shell/sofortmassnahmen-ohne-patch/), até ser possível uma atualização. ## Esconderijos típicos de código malicioso no PrestaShop | Local | Conteúdo | Ponto de verificação | |---|---|---| | `app/config/parameters.php` (versões mais antigas `config/settings.inc.php`) | Acesso à base de dados, chave de cookies | Data de alteração, renovar em caso de suspeita | | `override/` | Classes e controladores substituídos | Cada ficheiro tem de ser explicável | | `modules/` | Módulos do marketplace e de terceiros | Módulos desconhecidos, ficheiros alterados | | `themes/` | Templates e JavaScript, também para o checkout | Scripts alheios | | `img/`, `upload/`, `download/` | Imagens, uploads de clientes, produtos digitais | Sem ficheiros PHP | | `var/cache/`, `var/logs/` | Cache e registos | Guardar registos, regenerar a cache | | `install/` | Pasta de instalação | Não pode existir em produção | A pasta `override` merece especial atenção. O código aí colocado substitui partes do PrestaShop, por exemplo o processamento de encomendas ou de pagamentos, e não é removido automaticamente nas atualizações. Verificações inofensivas na linha de comandos e na base de dados (prefixo das tabelas consoante a instalação): ```bash find override -name "*.php" -newermt "2026-10-17" find img upload download -type f -name "*.php" ls -d admin* ``` ```sql SELECT email, firstname, lastname, active FROM ps_employee; ``` > **Agir de imediato:** > Se os clientes reportarem páginas de pagamento invulgares ou uso indevido de cartões após uma compra, retire o checkout da rede e guarde os registos a partir de 20/10/2026. Um checkout manipulado pode capturar dados em cada compra seguinte. ## Back Office, contas de funcionários e módulos O Back Office fica numa pasta com um nome individual, atribuído na instalação. Verifique em Parâmetros avançados as contas de funcionários e os perfis quanto a acessos desconhecidos ou órfãos, por exemplo de agências anteriores. Se possível, restrinja o diretório admin a redes conhecidas. Os módulos do marketplace e de terceiros ampliam pagamento, expedição, marketing e interfaces. Cada módulo é código PHP adicional, e os módulos sem manutenção ativa estão entre as portas de entrada mais frequentes nas lojas PrestaShop. Desinstale e apague o que não usa, em vez de apenas o desativar. Verifique também as chaves de webservice da API quanto a entradas desconhecidas. ## O que uma atualização do PrestaShop consegue e o que não consegue Uma atualização do PrestaShop ou de módulos individuais corrige falhas nesse código. Não aplica patch ao PHP, não reinicia processos e não remove overrides, módulos alheios, scripts no tema nem novas contas de funcionários. Se foram capturados dados pessoais, pode além disso existir um dever de notificação; informações gerais oferece o [Dever de notificação do RGPD: 72 horas](https://phpsos.de/pt/compliance/dsgvo-meldepflicht-72-stunden/), e a avaliação do caso concreto cabe ao seu encarregado de proteção de dados. O que os comerciantes devem ainda ter em conta resume-o [Segurança informática para lojas online](https://phpsos.de/pt/branchen/onlineshops/). Em lojas com vários países ou com função multistore, correm muitas vezes vários domínios na mesma instalação. Uma descoberta afeta então todas as lojas, mesmo que a anomalia só tenha sido notada numa. ## Como ajuda concretamente a PHP SOS? - Esclarecemos com o seu fornecedor de alojamento o estado do PHP, o backport e o reinício. - Guardamos registos, ficheiros e base de dados e documentamos o estado inicial. - Verificamos overrides, módulos, tema, pastas de upload, contas de funcionários e chaves de webservice. - Em caso de descobertas, a nossa [remoção de malware](https://phpsos.de/pt/leistungen/malware-entfernung/) assegura a limpeza e a renovação dos acessos. ## Perguntas frequentes **Uma atualização do PrestaShop corrige o PHP2Shell?** Não. As atualizações do PrestaShop corrigem falhas no código da loja. As vulnerabilidades do PHP2Shell estão no interpretador PHP e só são corrigidas por uma atualização do PHP ou por um backport confirmado, com reinício de todos os processos PHP. **Onde vejo a versão do PHP no PrestaShop?** No Back Office, em Parâmetros avançados > Informações. Aí constam os dados do servidor e do PHP. Um backport aplicado não se reconhece pelo número; isso é confirmado pelo seu fornecedor de alojamento. **O que é a pasta override e porque verificá-la?** Na pasta override podem ser substituídas classes e controladores do PrestaShop. O código aí colocado corre em vez do original, por exemplo no checkout. Overrides desconhecidos são, por isso, um ponto de verificação importante perante uma suspeita. **O diretório admin tem de estar renomeado?** O PrestaShop atribui, na instalação, um nome próprio ao diretório admin. Isso dificulta encontrá-lo, mas não substitui palavras-passe fortes, autenticação de dois fatores nem restrição de acesso. ## Fontes - [php.net: avisos de segurança](https://www.php.net/) - [PrestaShop](https://www.prestashop.com/) - [OWASP Top 10](https://owasp.org/www-project-top-ten/) - [RGPD Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)