Falhas no PHP motivam medidas preventivas no Brasil
Dois defeitos graves no PHP, uma das linguagens e plataformas mais usadas na web, levaram órgãos públicos e empresas a adotarem medidas preventivas nesta semana. A Agência Nacional de Telecomunicações (Anatel) e vários tribunais federais suspenderam temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outros serviços on-line enquanto avaliam a segurança dos seus ambientes.
O PHP é um software de código aberto utilizado para interpretar páginas e aplicações web e está presente em serviços como Facebook, Wikipedia, WordPress, Moodle e Magento. Especialistas alertam que a linguagem atende uma parcela significativa da internet; segundo Thiago Ayub, diretor de tecnologia da Sage Networks, rankings públicos indicam que cerca de 70% dos sites usam PHP, o que amplia o risco caso as atualizações não sejam aplicadas prontamente.
As falhas detectadas permitem, em tese, que atacantes assumam o controle de servidores sem precisar de login ou senha. Já existe uma correção disponível para o software, e as autoridades brasileiras divulgaram orientações para atualização imediata dos sistemas.
Orientação do governo e ações dos tribunais
Na quarta-feira (21), o Centro Integrado de Segurança Cibernética do Governo Digital (CISC) emitiu um alerta recomendando que órgãos públicos atualizem o PHP imediatamente. O Gabinete de Segurança Institucional da Presidência informou ter alertado os gestores de tecnologia da Administração Pública Federal sobre a necessidade de atualizações urgentes. O Ministério da Gestão e da Inovação em Serviços Públicos afirmou que comunicou as unidades de tecnologia do governo para retirar temporariamente do ar sistemas desenvolvidos em PHP.
A Anatel justificou a suspensão do acesso externo ao SEI e outros serviços como medida preventiva para proteger sistemas e informações enquanto realiza avaliações técnicas. O Tribunal Regional Federal da 1ª Região (TRF1) e o Tribunal Regional Federal da 4ª Região (TRF4) confirmaram ter interrompido o acesso externo ao SEI por precaução; o TRF1 informou que a ação visa resguardar a segurança do sistema e não há previsão imediata para restabelecer o acesso. O Tribunal Regional Federal da 6ª Região (TRF6) também suspendeu o acesso ao sistema de processo judicial eletrônico e ao SEI por motivo semelhante.
O G1 procurou o Tribunal Superior Eleitoral (TSE) para verificar possíveis impactos nas plataformas eleitorais e aguarda retorno.
Repercussão internacional e origem das descobertas
Além do Brasil, agências governamentais e empresas em outros países retiraram serviços do ar após a divulgação das vulnerabilidades. A Agência de Segurança Nacional dos Estados Unidos (NSA) orientou organizações a corrigirem os problemas imediatamente ou a desligarem sistemas vulneráveis. Na França, administrações locais — incluindo o site da Prefeitura de Polícia de Paris — ficaram inacessíveis por determinação da Agência Nacional de Cibersegurança francesa após a detecção de uma vulnerabilidade crítica.
As falhas foram inicialmente reportadas em agosto por duas equipes de segurança — a Calif e a OpenAI —, que as identificaram de forma independente no mesmo dia. Posteriormente, a empresa Wiz informou ter descoberto vetores adicionais de exploração. A Wiz afirmou que utilizou modelos de inteligência artificial, incluindo Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, na investigação das vulnerabilidades, e descreveu as descobertas como entre as mais graves já identificadas no PHP.
Especialistas consultados pelo G1 indicaram que, até o momento, não há relatos de impactos significativos em sistemas no Brasil, mas reforçaram a necessidade de aplicação imediata das atualizações disponibilizadas pelos mantenedores do PHP.
As autoridades e empresas afetadas continuam avaliando os ambientes e orientando a adoção das correções para mitigar o risco de invasões.
Com informações de G1
