Meus dados pessoais estão em risco com a vulnerabilidade do PHP?

MacWindowsiPhoneAndroidAtualizado

Uma vulnerabilidade é uma falha, e uma falha num site não é o mesmo que os seus dados terem sido levados. O PHP2Shell são duas falhas críticas no PHP, a linguagem em que rodam muitos sites, corrigidas em 21 de outubro de 2026. O alerta 93/2026 do CTIR Gov diz que elas podem permitir a execução remota de código por um atacante não autenticado. Em 23 de outubro de 2026, nenhum comunicado oficial traz uma lista de empresas ou clientes afetados.

Resposta rápida

Não necessariamente. O PHP2Shell é uma falha em servidores web, e um servidor ter a falha não significa que alguém levou dados dele. Se um site que você usa sofrer um incidente com risco ou dano relevante para você, a ANPD diz que a empresa deve comunicar você. Enquanto isso, use senhas diferentes, ative a verificação em duas etapas e desconfie de mensagens sobre vazamentos.

A vulnerabilidade do PHP significa que meus dados foram roubados?

Não, por si só. O CERT.br explica que vazamentos de dados acontecem quando dados são indevidamente acessados, coletados ou divulgados na internet, por exemplo pela ação de atacantes. O PHP2Shell é uma falha que poderia permitir isso num servidor que não foi corrigido. Se algo foi de fato levado de um site específico depende de esse site ter sido atacado, e só a organização que o administra pode verificar isso.

O que as fontes oficiais dizem até agora, em 23 de outubro de 2026:

  • O projeto PHP lançou versões corrigidas em 21 de outubro e disse que atualizar é a única escolha segura.
  • Em 23 de outubro de 2026, o alerta da agência americana CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação.

Nada disso fala de uma loja, um banco ou um serviço específico. Nosso guia sobre a vulnerabilidade do PHP explica as falhas.

Como eu ficaria sabendo se um site que uso foi invadido?

A empresa deve avisar você. A ANPD, a Autoridade Nacional de Proteção de Dados, diz que um incidente confirmado com dados pessoais que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares em três dias úteis, salvo prazo previsto em legislação específica. A comunicação aos titulares deve ser feita de forma individual e direta, sempre que possível. A ANPD também diz que nem todo incidente precisa ser comunicado.

Se você receber um comunicado de vazamento, ou souber por terceiros de um vazamento que pode afetar você, o CERT.br orienta confirmar a veracidade pelos canais oficiais da empresa e procurar entender:

  1. quais dados vazaram
  2. quando o vazamento aconteceu
  3. quais medidas a empresa tomou

Depois, siga as medidas que a empresa indicar.

Devo trocar a senha nesse site?

Se você souber que uma senha sua foi exposta, sim, e logo. O CERT.br orienta trocar a senha vazada em todos os serviços onde ela é usada, sem repetir senhas.

  1. Entre no site digitando o endereço você mesmo ou pelo app oficial, não por um link de e-mail ou mensagem.
  2. Troque a senha nas configurações de segurança da conta.
  3. Troque também em qualquer outro lugar onde usou a mesma.
  4. Use uma senha diferente e forte para cada conta. O CERT.br sugere senhas longas, como três palavras aleatórias, e cita os gerenciadores de senhas como uma forma segura de guardá-las.

O CERT.br dá atenção especial ao e-mail: a invasão de uma conta de e-mail pode levar à invasão de outras contas, se ele for usado para recuperar senhas.

Devo ativar a verificação em duas etapas?

Sim, onde houver. O CERT.br diz que, com tantos ataques e vazamentos de dados, só a senha pode não ser proteção suficiente. Com a verificação em duas etapas ativada, mesmo que o atacante descubra a sua senha, ele vai precisar de outras informações para invadir a conta. O CERT.br prefere chave de segurança física ou app gerador de códigos, e SMS só se não houver outra opção.

Comece pelo e-mail, depois banco e compras. Para uma Apple Account, veja two-factor authentication for your Apple Account (em inglês).

Como reconhecer golpes que usam o noticiário?

O CERT.br diz que, depois de um vazamento, é esperado um aumento nas tentativas de golpe por mensagens de texto, e-mails e ligações, do phishing direcionado a tentativas de extorsão. Ele também lembra que golpistas aproveitam temas em destaque e usam dados vazados e públicos para que o golpe pareça verdadeiro.

Sinais que o CERT.br aponta:

  • pressa ou ameaça
  • pedido de segredo
  • vantagem boa demais

O CERT.br orienta não clicar em links recebidos por e-mail ou mensagem, mesmo que pareçam convincentes, e confirmar a história com a organização por um contato oficial ou já conhecido. Ele também diz para nunca repassar senhas ou códigos de verificação por mensagens, e-mails ou ligações.

O que conferir nas minhas contas e finanças?

O CERT.br orienta analisar os registros de acesso das contas e denunciar acessos indevidos. Se você vir sinais de que outra pessoa entrou na sua conta, leia someone else signed into your account (em inglês).

Para dados bancários e de cartão, o CERT.br recomenda:

  1. Informar as instituições envolvidas.
  2. Revisar os extratos de cartões e contas e contestar lançamentos irregulares pelos canais oficiais.
  3. Bloquear ou substituir os cartões.
  4. Acompanhar os seus registros financeiros no Banco Central pelo sistema Registrato (registrato.bcb.gov.br) e o seu score de crédito.
  5. Consultar no Cadastro Pré-Pago (cadastropre.com.br) se alguma linha de celular foi ativada no seu CPF.

Se alguém estiver se passando por você, se houver prejuízo financeiro ou extorsão, o CERT.br recomenda registrar um boletim de ocorrência.

Mais perguntas

Como confiro se o meu e-mail apareceu num vazamento?

O CERT.br cita os serviços de monitoramento de senhas presentes em alguns sistemas e navegadores. Ele também alerta que acessar sites que supostamente confirmam ou exibem dados vazados pode ser uma armadilha para capturar mais dados ou espalhar códigos maliciosos.

A empresa sempre vai me avisar de um vazamento?

Nem sempre. A ANPD diz que a comunicação é obrigatória quando o incidente pode acarretar risco ou dano relevante aos titulares, então um incidente de menor risco pode não chegar até você. Você pode sempre perguntar à empresa o que aconteceu.

Como reclamo de como uma empresa tratou os meus dados?

Se ficou comprovado que houve um vazamento com os seus dados, o CERT.br orienta pedir esclarecimentos à organização e, se ela não atender ou você não souber qual instituição está envolvida, recorrer à ANPD. A ANPD diz que, se o controlador não atender os seus direitos, você pode fazer uma reclamação à ANPD por petição de titular; qualquer pessoa também pode fazer uma denúncia de suposta infração à LGPD. Em Portugal, a CNPD recebe queixas pelos formulários de participação no site dela.

Preciso instalar algo no celular ou no computador?

Não por causa do PHP2Shell. As falhas estão em servidores web, que o dono do site atualiza.

Meu banco vai me pedir para confirmar dados por causa disso?

O CERT.br orienta desconfiar de mensagens sobre recadastramento de token ou pagamento pendente e, na dúvida, falar com a instituição pelos canais oficiais. Nunca passe senhas ou códigos de verificação por mensagem, e-mail ou ligação.

Fontes