Falhas críticas no PHP tiram sistemas públicos do ar no Brasil

Tudo sobre Inteligência Artificial ver mais Duas falhas graves de segurança no PHP levaram a Anatel e tribunais brasileiros a suspender temporariamente o acesso a sistemas, incluindo o Sistema Eletrônico de Informações (SEI). As vulnerabilidades podem permitir que invasores controlem servidores sem precisar de login ou senha. O governo federal alertou os órgãos públicos para que atualizem o software. As falhas foram identificadas com ajuda de inteligência artificial (IA), e já existe uma correção disponível.

Como funcionam as falhas no PHP? O PHP é uma linguagem de programação usada na criação de sites e serviços digitais. A tecnologia está presente em plataformas como WordPress, Wikipedia, Moodle e Magento, que dependem dela para executar diferentes funções. As vulnerabilidades podem permitir que invasores executem ações nos servidores sem apresentar credenciais e, com isso, assumam o controle das máquinas que mantêm os sites funcionando. O risco envolve páginas institucionais, lojas virtuais e outros serviços que utilizam versões vulneráveis do PHP. Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, destacou o alcance da tecnologia.

“Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, afirmou. O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) divulgou um alerta na quarta-feira (21). Ao g1, o Gabinete de Segurança Institucional (GSI) confirmou que orientou os gestores de Tecnologia da Informação da Administração Pública Federal a atualizar os sistemas imediatamente. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) informou que a situação foi comunicada às equipes de tecnologia do governo federal, com orientação para retirar temporariamente do ar os sistemas desenvolvidos em PHP.

Quais sistemas foram afetados no Brasil? A Anatel suspendeu o acesso externo ao SEI e a outros serviços da agência disponíveis na internet enquanto realiza avaliações técnicas. A plataforma é usada por órgãos públicos para criar, organizar e acompanhar documentos e processos administrativos digitais. A mesma precaução foi adotada pelos Tribunais Regionais Federais da 1ª, 4ª e 6ª Regiões. O TRF1 informou que não havia previsão para restabelecer o acesso externo ao SEI.

Já o TRF6 também suspendeu o acesso ao sistema de processo judicial eletrônico. O Tribunal Superior Eleitoral (TSE) foi procurado pelo g1 para esclarecer se as falhas afetam seus sistemas e se há possíveis consequências para as eleições deste ano. Até então, especialistas consultados pelo portal não haviam relatado grandes impactos no Brasil. As principais medidas adotadas diante do problema incluem: Suspensão temporária do acesso externo a sistemas públicos; Avaliação técnica dos serviços que utilizam PHP; Atualização do software para corrigir as vulnerabilidades; Desligamento de sistemas vulneráveis quando a correção imediata não é possível. Como a inteligência artificial ajudou a encontrar as falhas? A empresa de segurança Calif e a OpenAI, responsável pelo ChatGPT, identificaram as vulnerabilidades de forma independente, em agosto.

Posteriormente, a Wiz, especializada em segurança na nuvem, encontrou outras maneiras de explorar os problemas. Na investigação, a Wiz utilizou os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. A empresa destacou a gravidade das descobertas: “Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou na quarta-feira (21). A Wiz também ressaltou a dificuldade de encontrar essas falhas sem ferramentas de inteligência artificial. “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e a exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”, declarou. A preocupação ultrapassou as fronteiras brasileiras.

Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que as organizações corrigissem os problemas imediatamente ou desligassem os sistemas vulneráveis. Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis após uma solicitação da agência nacional de cibersegurança. A atualização do PHP é necessária para corrigir as falhas. Sites que continuam usando versões vulneráveis sem instalar a correção permanecem expostos a possíveis invasões.

Valdir Antonelli Valdir Antonelli é jornalista com especialização em marketing digital e consumo. Ver todos os artigos →