O que ocorreu
Dois erros de segurança considerados graves no PHP, linguagem de programação usada em grande parte dos sites e sistemas web, motivaram uma série de medidas preventivas no Brasil e no exterior. As vulnerabilidades podem permitir que invasores assumam controle de servidores sem necessidade de autenticação, segundo pesquisadores. Uma correção já foi disponibilizada.
Quem e quando
Na quarta-feira (21), o Centro Integrado de Segurança Cibernética do Governo Digital (CISC) divulgou um alerta recomendando que órgãos públicos atualizassem o PHP imediatamente. Em resposta à descoberta, a Agência Nacional de Telecomunicações (Anatel) e tribunais federais suspenderam temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e outros serviços online como medida de precaução.
Quais órgãos afetados
A Anatel informou que bloqueou o acesso externo ao SEI enquanto realiza avaliações técnicas. O Tribunal Regional Federal da 1ª Região (TRF1) e o Tribunal Regional Federal da 4ª Região (TRF4) confirmaram a suspensão externa da plataforma, com o TRF1 afirmando que a medida visa proteger a integridade das informações e que ainda não há previsão de restabelecimento. O Tribunal Regional Federal da 6ª Região (TRF6) também chegou a suspender o SEI e o sistema de processo eletrônico e afirmou ter restabelecido ambos na quinta-feira (22).
Impacto e recomendações
Especialistas consultados disseram não haver, até o momento, relatos de grandes incidentes no Brasil. Ainda assim, analisaram que a vulnerabilidade tem potencial para causar efeito em cadeia, levando a vazamentos e interrupções em serviços, inclusive em sistemas que não utilizam PHP diretamente. Autoridades e agências internacionais recomendaram correções imediatas; a Agência de Segurança Nacional dos EUA (NSA) pediu que organizações atualizem ou desliguem sistemas vulneráveis.
Ocorrências internacionais e origem da descoberta
Na França, administrações locais — entre elas a Prefeitura de Polícia de Paris — deixaram sites inacessíveis por orientação da agência nacional de cibersegurança após detecção de vulnerabilidade crítica. Empresas e órgãos em diversos países também tiraram serviços do ar na quarta-feira.
As falhas foram inicialmente reportadas em agosto pelas empresas de segurança Calif e pela OpenAI, que as identificaram de forma independente no mesmo dia. Posteriormente, a empresa Wiz relatou ter encontrado novas formas de exploração e classificou as descobertas como algumas das mais graves já detectadas no PHP. A Wiz informou ter empregado modelos de inteligência artificial — Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI — na identificação das vulnerabilidades e afirmou que, por mais de uma década, esses problemas passaram despercebidos por sua complexidade sem o uso de IA.
Atualização disponível
Há uma atualização publicada para corrigir os erros no PHP, e o governo federal recomendou a aplicação imediata desse patch por parte de órgãos públicos. As investigações e as avaliações técnicas prosseguem enquanto equipes de segurança monitoram possíveis explorações.
Fonte: G1
