Em resumo: uma webshell é um pequeno ficheiro através do qual um estranho pode controlar o seu servidor à distância. Quem encontrou uma está muito provavelmente afetado e deve contactar-nos de imediato. Não apagar, não abrir, preservar primeiro. Esclarecemos remotamente como chegou ao servidor, se existem outros acessos, e limpamos o servidor.
Não apague nada nem reinstale nada agora. Também a própria webshell fica, para já, onde está, para poder ser preservada. Está afetado? Ligue ou escreva-nos por WhatsApp, ou comunique o achado através de Comunicar uma emergência.
Encontrou uma webshell: o que significa?
Uma webshell é um script PHP (ou um script noutra linguagem de servidor) que recebe comandos do exterior. Com ela, os atacantes podem ler ficheiros, descarregar dados, carregar código malicioso e alcançar outros sistemas. O ficheiro raramente é, por isso, o objetivo do ataque. É a porta dos fundos que um intruso deixa para poder voltar.
Isto tem duas consequências. Primeira: alguém já tinha acesso de escrita ao seu servidor ou conseguiu executar código. Segunda: o ficheiro encontrado provavelmente não é o único. A isto soma-se o que muitas vezes se desconhece: desde quando está lá e o que foi feito entretanto com ele?
Como reconhece uma webshell
- um ficheiro PHP numa pasta onde não deveria haver nenhum, por exemplo uploads, cache, imagens ou diretórios temporários
- nomes de ficheiro que parecem ficheiros de sistema, mas não pertencem ao seu software, ou nomes com extensão dupla
- código ilegível, com longas cadeias de carateres, codificação e funções para executar comandos, ver Reconhecer código PHP ofuscado
- uma data de alteração que não coincide com as suas atualizações
- acessos a este ficheiro nos registos, muitas vezes a partir de endereços estranhos e com pedidos POST
- processos do servidor web que iniciam uma shell, como descrito em Sinal de alerta: o servidor web inicia uma shell
Como interpretar corretamente os achados, explica-o Ficheiros PHP na pasta de uploads e, em pormenor, Reconhecer e remover webshells.
O que fazer já
- Não abrir nem executar o ficheiro. Sem testes no navegador.
- Não apagar nem mover. Não altere nem o conteúdo nem as marcas de data e hora.
- Anotar: caminho completo, nome do ficheiro, momento do achado, quem o descobriu e com que meios.
- Preservar o ficheiro e os metadados: uma cópia com proprietário, permissões e marcas de data e hora. Bastam comandos de verificação apenas de leitura, por exemplo:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Conservar os registos: não deixe que os registos de acesso e de erros do servidor web e do PHP sejam substituídos. A imprensa especializada aconselha a conservar os registos do servidor a partir de 20/10/2026.
- Isolar o servidor, se necessário: se suspeita de fuga de dados, retire o site da rede. Como preservar provas ao fazê-lo, descreve-o Preservar provas antes de reinstalar.
- Informar-nos antes de alterar palavras-passe ou de limpar ficheiros.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: o que foi encontrado, onde, quando e por quem? Que sistemas estão no mesmo servidor?
- Preservar e fechar: preservamos o achado, os ficheiros, a base de dados e os registos e bloqueamos os acessos que parecem suspeitos.
- Verificar e limpar: procuramos outras webshells, ficheiros do núcleo alterados, cronjobs ocultos, contas de administrador alheias e chaves SSH desconhecidas, e removemo-los. O procedimento corresponde ao serviço de remoção de malware e webshells.
- Reforçar e relatar: identificamos a provável porta de entrada, fechamo-la e protegemos o servidor. Recebe uma documentação com achados e cronologia.
Como chegou a webshell ao servidor?
Os caminhos típicos são plugins ou extensões desatualizados, uploads de ficheiros inseguros, credenciais roubadas e vulnerabilidades no software do servidor. Desde a publicação do PHP2Shell, acresce outra possibilidade: o PHP sem as correções das versões 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 pode ser usado de forma abusiva, à distância, para executar código. Não existem indicadores de comprometimento confirmados a este respeito; a deteção baseia-se no comportamento. Se a entrada no seu caso foi pelo PHP2Shell ou por outro caminho, só se pode deduzir dos vestígios, e indicamos o que está comprovado e o que é suposição. Como os registos ajudam nisso, mostra-o Analisar os registos do servidor web.
Um patch não remove uma webshell existente. Também a proteção contra futuros achados faz parte do trabalho: Proibir a execução de PHP em pastas de uploads evita muitos casos. Considere ainda os limites dos scanners de malware: uma análise sem achados não é um sinal de fim de alerta.
Se precisar de saber exatamente o que aconteceu, por exemplo para o segurador ou as autoridades, uma perícia forense informática pode fazer sentido.
E se a webshell voltar depois de apagada?
Isto acontece com frequência e tem, em regra, duas razões. Ou existe pelo menos mais um backdoor que volta a criar o ficheiro encontrado, ou a porta de entrada continua aberta e o atacante simplesmente volta. Nenhuma das duas se resolve apagando repetidamente. Por isso procuramos o conjunto das alterações: ficheiros novos e alterados, entradas na base de dados e na configuração, tarefas agendadas, contas. Uma lista dos ficheiros alterados recentemente é um bom começo, mas não substitui a verificação por especialistas.
O que nos deve enviar
- caminho e nome do ficheiro, se possível como cópia com marcas de data e hora (acordamos a forma de entrega)
- excertos dos registos de acesso em torno deste ficheiro, se tiver acesso
- tipo de servidor, fornecedor de alojamento, versão do PHP e modo de operação, se forem conhecidos
- que sites e aplicações correm no servidor
- quando foram feitas por último atualizações, uploads ou alterações
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Um interlocutor conduz-o ao longo do incidente. Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa, documentamos cada passo e não fazemos promessas que ninguém possa cumprir. Ficamos até o incidente estar encerrado e documentado.
Está afetado? Ligue-nos. Nós ajudamos.
Uma webshell encontrada é um sinal de alerta que deve levar a sério. Contacte-nos agora, por chamada ou WhatsApp, e assumimos o caso desde a primeira mensagem. Comunicar já uma emergência
Perguntas frequentes
Encontrei uma webshell. Posso simplesmente apagar o ficheiro?
Por favor, não como primeira medida. O ficheiro mostra quando e com que meios o atacante chegou. Preserve-o primeiro, com as marcas de data e hora e o proprietário; depois é removido de forma dirigida. Quem apenas apaga deixa, na maioria das vezes, outros acessos para trás.
Devo abrir o ficheiro suspeito no navegador para ver o que faz?
Não. Aceder-lhe pode executar o código malicioso e apagar mais vestígios. Verifique o ficheiro apenas em modo de leitura e, de preferência, numa cópia.
Um scanner de malware basta para encontrar todas as webshells?
Não de forma fiável. Os scanners reconhecem padrões conhecidos, mas as webshells ofuscadas ou construídas de novo escapam-lhes. Uma análise limpa não prova que já não há nada.
Como sei há quanto tempo a webshell está no servidor?
Dão indícios a data de alteração, os registos de acesso e de erros e comparações com outros ficheiros novos. As marcas de data e hora, porém, podem ser falsificadas. Por isso avaliamos várias fontes e indicamos o que está comprovado e o que é suposição.
Tenho de comunicar o achado?
Assim que dados pessoais possam estar afetados, pode ser necessária uma notificação à autoridade de controlo. Sobre isso aconselham os encarregados da proteção de dados ou os advogados; nós fornecemos os factos técnicos.