Uma vulnerabilidade de segurança na linguagem de programação PHP, responsável por sustentar cerca de 70% das páginas da web em todo o planeta — incluindo o gerenciador WordPress —, provocou a queda de sites e plataformas digitais na quarta-feira (21). O problema teve alcance internacional, atingindo nações como Inglaterra, Irlanda, França e Holanda, além do Brasil.
No território brasileiro, o Ministério da Gestão e da Inovação em Serviços Públicos comunicou a emissão de um alerta direcionado a todas as divisões de tecnologia do governo federal, por intermédio do Ctir.Gov (Centro de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos do Governo Federal). A orientação inicial determinou a remoção temporária do ar de todos os sistemas criados em PHP, com a desativação de acessos externos.
Entre os serviços impactados esteve o SEI (Sistema Eletrônico de Informações), plataforma federal voltada à produção e à gestão de documentos e processos administrativos eletrônicos, que foi desativada de forma preventiva. A pasta informou que demandas urgentes sobre documentos devem ser direcionadas ao GOV.BR ou via e-mail. Por sua vez, o GOV.BR não sofreu impactos, e o Ministério declarou que ainda analisa a extensão do problema, com equipes de segurança cibernética atuando na verificação dos efeitos da correção e na recuperação da disponibilidade dos sistemas.
À CNN Brasil, a Anatel (Agência Nacional de Telecomunicações) confirmou a interrupção do funcionamento do SEI na quarta-feira, no período das 12h15 às 22h05, no horário de Brasília, especificamente para a aplicação dos ajustes. A autarquia classificou a ação como estritamente preventiva, seguindo recomendações internacionais, e assegurou que não houve ocorrência de invasões. Após o procedimento, o SEI da agência foi reiniciado e opera normalmente.
A Fundação PHP, entidade encarregada pela linguagem, disponibilizou uma correção para as falhas na quarta-feira e aconselhou os operadores de sites a realizarem a atualização de imediato. A Reuters apontou que uma empresa de computação em nuvem registrou milhões de tentativas de exploração da falha.
Os defeitos, batizados de PHP2Shell, foram detectados por equipes da OpenAI, da empresa de cibersegurança Wiz (ligada ao Google) e da empresa de cibersegurança Calif. Segundo especialistas, as falhas poderiam conceder a invasores a capacidade de acessar páginas e ler dados armazenados na memória, tais como senhas e informações confidenciais. Pesquisadores da Wiz caracterizaram o PHP como uma coluna vertebral da web, ressaltando que a inteligência artificial teve um papel essencial na localização e correção de vulnerabilidades que permaneceram ocultas no código-fonte por mais de dez anos.
Em solo britânico, a ministra Elizabeth Lloyd declarou na quinta-feira, perante a Câmara dos Lordes, que cerca de 30 serviços governamentais ficaram inacessíveis e quatro sofreram indisponibilidade parcial durante as atualizações. Na Irlanda, o segundo portal de notícias mais acessado do país, o The Journal, saiu do ar. Diversos governos europeus, incluindo França, Dinamarca, Finlândia e Holanda — com destaque para a agência holandesa de segurança cibernética —, também desativaram temporariamente páginas oficiais.
A Agência de Segurança Nacional dos Estados Unidos e a agência europeia de cibersegurança recomendaram ações urgentes das empresas. O primeiro-ministro holandês, Rob Jetten, declarou que seu gabinete acompanhava de perto a situação, enquanto a primeira-ministra do Japão, Sanae Takaichi, sugeriu que companhias considerassem paralisar serviços para diminuir riscos. No Japão, a companhia aérea ANA, a operadora ferroviária JR West e o banco MUFG relataram suspensões temporárias em páginas web e serviços.
O impacto potencial foi comentado por Nigel Green, CEO da consultoria financeira deVere Group, em declaração à CNN Internacional. O executivo pontuou que, com o PHP presente em grande parte da web, a exposição atinge praticamente todos os locais onde usuários realizam transações financeiras online, abrangendo plataformas de reservas, marketplaces, serviços de assinatura, bilheterias digitais, aplicativos de entrega e portais públicos que possam armazenar dados de cartões.