Falhas no PHP levam tribunais e Anatel a suspender sistemas no Brasil

Duas falhas graves de segurança na linguagem de programação PHP levaram a Agência Nacional de Telecomunicações (Anatel) e tribunais federais a suspender temporariamente o acesso a sistemas digitais no Brasil. As vulnerabilidades podem permitir que invasores assumam o controle de servidores sem precisar de login ou senha.

O governo federal também emitiu um alerta para que órgãos públicos atualizem o software imediatamente. A orientação foi divulgada na quarta-feira (21) pelo Centro Integrado de Segurança Cibernética do Governo Digital (CISC), após a identificação dos problemas.

Já existe uma atualização para corrigir as falhas. Enquanto isso, instituições adotam medidas preventivas para proteger seus sistemas e as informações armazenadas.

O PHP é uma linguagem de programação amplamente utilizada na criação de sites e aplicações digitais. A tecnologia está presente em plataformas como WordPress, Wikipedia e Moodle, além de ser usada em diferentes serviços e sistemas de gerenciamento de conteúdo.

O diretor de tecnologia da Sage Networks e especialista em telecomunicações, Thiago Ayub, alerta para os riscos de manter sistemas desatualizados. “Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, afirmou.

Leia também:

Anatel e tribunais suspendem acesso a sistemas

A Anatel suspendeu temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outros serviços da agência disponíveis na internet. A medida busca proteger os sistemas e os dados institucionais durante a realização de avaliações técnicas.

O SEI é utilizado por órgãos públicos para produzir, organizar, tramitar e acompanhar documentos e processos administrativos em formato digital.

Os Tribunais Regionais Federais da 1ª Região (TRF1) e da 4ª Região (TRF4) também confirmaram a suspensão do acesso externo à plataforma. O Tribunal Regional Federal da 6ª Região (TRF6), por sua vez, informou que interrompeu o acesso ao sistema de processo judicial eletrônico e ao SEI.

Em nota, o TRF1 informou que a decisão tem caráter preventivo e busca preservar a segurança do sistema e a integridade das informações institucionais. O tribunal também declarou que, naquele momento, não havia previsão para o restabelecimento do acesso externo.

O Gabinete de Segurança Institucional da Presidência da República (GSI) informou que alertou os responsáveis pela área de tecnologia da informação da Administração Pública Federal sobre a necessidade de atualizar os sistemas.

Já o Ministério da Gestão e da Inovação em Serviços Públicos (MGI) afirmou que comunicou o problema às unidades de tecnologia do governo federal para que sistemas desenvolvidos em PHP fossem retirados temporariamente do ar.

Até a publicação das informações, especialistas consultados pelo portal g1 não relatavam grandes impactos no Brasil. O Tribunal Superior Eleitoral (TSE) havia sido procurado para esclarecer se as vulnerabilidades afetavam seus sistemas e se poderiam provocar impactos nas eleições de 2026, mas ainda não havia respondido.

Falhas também provocam medidas em outros países

A reação à descoberta das vulnerabilidades também atingiu organizações internacionais. Na quarta-feira (21), agências governamentais e empresas de diferentes países retiraram serviços do ar como medida de precaução.

Nos Estados Unidos, a Agência de Segurança Nacional (NSA) orientou as organizações a corrigirem os problemas imediatamente ou desligarem os sistemas vulneráveis.

Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis após uma solicitação da Agência Nacional de Cibersegurança francesa. O Ministério do Interior do país informou que a medida ocorreu após a identificação de uma vulnerabilidade crítica de segurança.

As falhas foram identificadas inicialmente em agosto de 2026 pela empresa de segurança Calif e pela OpenAI, responsável pelo ChatGPT. As duas organizações detectaram os problemas de forma independente no mesmo dia. Posteriormente, a empresa de segurança em nuvem Wiz identificou outras maneiras de explorar as vulnerabilidades.

Na quarta-feira (21), a Wiz classificou as descobertas entre as mais graves já identificadas no PHP e levantou a possibilidade de estarem entre as mais sérias da história do software.

A empresa também informou ter utilizado modelos de inteligência artificial do Google e da OpenAI na identificação das vulnerabilidades. Segundo a Wiz, a tecnologia ajudou a localizar falhas que permaneceram sem solução por mais de uma década devido à complexidade envolvida na descoberta e na exploração desse tipo de problema.