Visitar um site hackeado é perigoso? O que o PHP2Shell muda para quem navega

MacWindowsiPhoneAndroidAtualizado 2026-10-31

O PHP2Shell é uma falha no software que roda no servidor de um site, não no seu celular nem no seu computador. Visitar um site em PHP não expõe o seu aparelho à falha em si. O risco para quem visita vem depois, se atacantes tomarem conta do site e mudarem o que ele mostra para você.

Resposta rápida

As vulnerabilidades do PHP divulgadas em 21 de outubro de 2026 afetam instalações de PHP que atendem requisições web, ou seja, servidores. Uma visita não roda PHP no seu aparelho. Mas o Google diz que sites invadidos podem redirecionar visitantes para páginas nocivas, hospedar páginas de phishing ou instalar conteúdo malicioso. Mantenha o navegador atualizado, evite downloads inesperados e confira o endereço antes de digitar uma senha.

O que uma falha do PHP num site significa para quem visita?

A falha fica no servidor do site. O manual do PHP explica que o código é executado no servidor, que gera o HTML enviado ao navegador. O navegador recebe o resultado, mas não sabe qual era o código-fonte. O comunicado do PHP sobre a CVE-2026-109618 e a CVE-2026-109619 diz que estão em risco as instalações de PHP que atendem requisições web, e o alerta 93/2026 do CTIR Gov diz que as falhas podem permitir a execução remota de código por um atacante não autenticado.

Para quem visita, o PHP2Shell importa se um site que você usa for tomado, porque aí o que o site mostra pode mudar.

O que um site hackeado pode fazer com quem visita?

As políticas do Google para donos de sites descrevem o que os invasores fazem depois de entrar num site:

Mudar páginas existentes. O Google diz que os hackers podem tentar inserir código malicioso nas páginas.
Mandar você para outro lugar. O Google diz que o código injetado pode redirecionar alguns usuários para páginas nocivas ou com spam.
Criar páginas novas. O Google diz que os hackers podem adicionar páginas com conteúdo malicioso ou spam, muitas vezes para tentativas de phishing.
Tentar instalar software. O Google diz que o conteúdo invadido pode instalar conteúdo malicioso nas máquinas, e mostra o exemplo de um pop-up enganoso destinado a induzir o usuário a instalar malware.
Pedir a sua senha. O Google diz que sites de phishing podem parecer exatamente como o site real, e que invasores podem assumir o controle de sites inocentes para hospedar esse tipo de conteúdo.

Vários desses golpes só funcionam se você fizer algo, como aceitar um download ou digitar uma senha numa página falsa.

O navegador me avisa sobre um site perigoso?

Pode avisar. Cada navegador grande tem os próprios avisos:

Safari no Mac. Escolha Safari > Ajustes e clique em Segurança. A Apple diz que a opção "Avisar quando visitar um site fraudulento" mostra um aviso se o site for suspeito de phishing.
Chrome. O Google diz que o Chrome pode mostrar um aviso em vermelho com a mensagem "Site perigoso" para sites de phishing, malware, software indesejado ou engenharia social, e recomenda não acessar. No computador, a proteção fica em Mais > Configurações > Privacidade e segurança > Segurança, em "Navegação segura".
Microsoft Edge. A Microsoft diz que o SmartScreen compara os sites visitados com uma lista dinâmica de sites de phishing e de software malicioso denunciados, e confere os downloads. Se encontrar uma correspondência, ele avisa que o site ou o download foi bloqueado para sua segurança.

Essas listas dependem de sites denunciados: a própria Microsoft oferece um caminho para denunciar um site inseguro que o SmartScreen não avisou.

Como me proteger ao visitar sites?

Alguns hábitos cobrem a maior parte dos riscos descritos pelo Google.

Mantenha o navegador e o aparelho atualizados. O CERT.br diz que atacantes exploram vulnerabilidades em programas para invadir computadores e instalar malware, e orienta configurar atualizações automáticas em sistemas, navegadores e demais aplicativos.
Não baixe o que você não foi procurar. A Apple diz que alguns downloads podem não conter o software que alegam ter e recomenda instalar pela App Store ou baixar direto do site do desenvolvedor. No Mac, a Apple avisa que rodar software que não foi assinado e autenticado pode expor o computador e suas informações pessoais a malware.
Confira o endereço antes de digitar uma senha. A Apple alerta para links que parecem corretos, mas cujo URL não corresponde ao site da empresa. No Mac, passe o mouse sobre o link para ver o URL; no iPhone, toque e mantenha o link pressionado.
Use senhas diferentes e um gerenciador de senhas. O CERT.br diz que reusar senhas é arriscado, porque basta descobrir a senha de uma conta para acessar as outras, e cita os gerenciadores de senhas como uma forma de guardá-las.
Ative a verificação em duas etapas. O CERT.br diz que, com ela ativada, mesmo que o atacante descubra a sua senha, vai precisar de outras informações para invadir a conta.

E se eu já digitei uma senha ou baixei alguma coisa?

Aja sobre o que aconteceu. O CERT.br orienta trocar imediatamente a senha em todas as contas onde ela é usada, ativar a verificação em duas etapas e encerrar as sessões ativas em outros dispositivos. Se você abriu um arquivo ou instalou algo, ele recomenda uma verificação completa com antivírus, que pode ser o do próprio sistema, e remover arquivos e apps suspeitos.

Se houve prejuízo, o CERT.br orienta contestar a transação pelos canais oficiais do banco (no Pix, pelo MED, o Mecanismo Especial de Devolução), guardar as evidências e registrar um boletim de ocorrência, que na maioria dos casos pode ser feito online.

Onde o Failshot entra

O Failshot é uma segunda camada de segurança para o seu Mac, para outro momento: alguém usando o seu Mac pessoalmente. A sua senha é a primeira camada, e o Failshot é a camada que vem depois dela. Enquanto está ligado, ele fotografa quem desbloquear o seu Mac e depois, com o Pro, grava um vídeo de 5 segundos, e a janela dele avisa a pessoa que o desbloqueio foi fotografado. Para desligá-lo, ou encerrá-lo pelo menu dele, é preciso o Touch ID ou o seu PIN e a sua resposta do Failshot, nunca a senha do Mac.

O app para Mac é um download gratuito em failshot.app, para macOS 14 ou posterior. Grátis para usar. O Pro acrescenta vídeo, alertas por e-mail e o cofre criptografado. Experimente o Failshot Pro para Mac grátis por 7 dias em failshot.app. O seu cartão é cadastrado na inscrição e cobrado no 8º dia, a menos que você cancele. O app está em inglês, e as versões para iPhone, Android e Windows chegam em breve.

Mais perguntas

Dá para saber se um site usa PHP?

Não com certeza. O manual do PHP diz que um servidor web pode ser configurado para processar todos os seus arquivos HTML com o PHP, e aí não há como os usuários saberem que o PHP está sendo usado.

O dono de um site sabe quando ele foi hackeado?

Nem sempre. O Google diz que os hackers costumam usar técnicas de cloaking para que os donos não percebam que o site foi invadido.

O PHP2Shell já foi usado contra sites?

Em 23 de outubro de 2026, o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação. O comunicado da QNAP de 22 de outubro diz que tentativas de exploração contra o PHP foram relatadas publicamente.

Isso afeta o meu celular?

Não diretamente. O PHP2Shell afeta instalações de PHP que atendem requisições web, que são servidores, não celulares. Um site invadido ainda pode mostrar uma página de login falsa em qualquer aparelho, então os mesmos hábitos valem.