Seu cliente pode estar vulnerável e sua agência talvez nem saiba
Falhas críticas no PHP reacendem uma discussão sobre responsabilidade técnica, dependência de fornecedores e os limites da manutenção de projetos digitais.
Redação Lista de Agências
Publicado em 3 min de leitura
Uma agência entrega um novo website, publica a aplicação, recebe a aprovação do cliente e encerra o projeto. Meses depois, uma vulnerabilidade descoberta em uma linguagem de programação utilizada pelo servidor pode comprometer a segurança daquele ambiente.
Quem deveria identificar o problema? Quem é responsável pela atualização? Existe um contrato de manutenção? O cliente sabe quem administra a infraestrutura?
Essas perguntas ganham importância diante do alerta internacional divulgado em 21 de outubro de 2026 sobre duas vulnerabilidades críticas no PHP.
As falhas CVE-2026-109618 e CVE-2026-109619 podem permitir execução remota de código em ambientes vulneráveis sem autenticação prévia. O projeto PHP publicou atualizações emergenciais e recomendou sua instalação imediata.
O episódio coloca as agências digitais diante de uma questão operacional frequentemente negligenciada: a responsabilidade por aquilo que acontece depois da entrega de um projeto.
O problema começa quando ninguém sabe quem cuida do servidor
Agências de publicidade, marketing e comunicação desenvolveram uma dependência crescente de plataformas tecnológicas.
Landing pages, websites institucionais, plataformas de geração de leads, aplicações personalizadas e portais corporativos sustentam campanhas e processos comerciais.
Entretanto, a responsabilidade técnica desses ambientes costuma estar distribuída entre desenvolvedores, fornecedores de hospedagem, equipes internas do cliente e prestadores externos.
Quando essa divisão não está formalizada, atualizações de segurança podem ficar sem responsável definido.
O cliente acredita que a agência cuida da tecnologia. A agência entende que a hospedagem é responsabilidade do cliente. O fornecedor de infraestrutura mantém apenas os serviços contratados.
O resultado pode ser um ambiente desatualizado por meses, mesmo com campanhas digitais funcionando normalmente.
Segurança precisa fazer parte do escopo comercial
O caso PHP2Shell demonstra a necessidade de estabelecer responsabilidades desde a contratação.
Contratos de desenvolvimento e manutenção deveriam especificar quem responde pelas atualizações do servidor, pelo monitoramento de vulnerabilidades, pelos backups e pela recuperação em caso de incidentes.
Também deveriam existir critérios claros para diferenciar manutenção evolutiva de manutenção corretiva e emergencial.
Essa separação protege tanto o cliente quanto a agência, pois evita a expectativa de que uma entrega pontual represente suporte tecnológico indefinido.
É necessário considerar, ainda, que a responsabilidade jurídica por eventuais danos dependerá dos contratos, das obrigações assumidas e das circunstâncias de cada caso.
Uma oportunidade para rever os serviços oferecidos
Agências que administram websites e outras aplicações podem estruturar serviços recorrentes de acompanhamento tecnológico, diretamente ou em parceria com fornecedores especializados.
Isso envolve inventariar os projetos ativos, documentar a infraestrutura utilizada, identificar versões sem suporte e estabelecer procedimentos para atualizações críticas.
A simples instalação de plugins de segurança não resolve vulnerabilidades presentes no próprio ambiente de execução da aplicação.
No caso divulgado nesta quarta-feira, a correção exige atenção à versão do PHP instalada no servidor.
Os ambientes precisam ser atualizados para versões corrigidas e devidamente testados quanto à compatibilidade com as aplicações existentes.
O relacionamento com o cliente também depende da resposta a incidentes
O momento em que uma falha crítica se torna pública costuma revelar a qualidade dos processos de uma agência.
Organizações que mantêm inventários atualizados conseguem identificar rapidamente quais clientes podem estar expostos. Equipes sem visibilidade sobre os ambientes precisam iniciar uma investigação justamente quando o tempo é mais importante.
A diferença afeta o atendimento, a confiança comercial e os custos de resposta.
Para as agências, o principal aprendizado do episódio é bastante concreto: websites e aplicações continuam exigindo responsabilidade técnica depois de publicados.
Essa responsabilidade precisa estar refletida na operação, na precificação e nos contratos.
Artigo da redação da Lista de Agências.
