A descoberta de duas falhas graves de segurança no PHP levou a Agência Nacional de Telecomunicações (Anatel) e tribunais brasileiros a suspenderem, por precaução, o uso do Sistema Eletrônico de Informações (SEI), plataforma voltada a processos administrativos. O PHP consiste em uma linguagem de programação amplamente utilizada para a criação de sites e atua por meio de um software gratuito e de código aberto que interpreta e executa códigos. A tecnologia marca presença em serviços como Wikipedia, Facebook e WordPress, além do Moodle — empregado por instituições de ensino — e do Magento, focado em lojas virtuais.
As vulnerabilidades detectadas podem conceder a invasores a capacidade de assumir o controle de servidores responsáveis por manter os sites em funcionamento, dispensando o uso de login ou senha. Uma atualização voltada à correção do problema já se encontra disponível. Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, destacou que rankings públicos apontam o PHP como a linguagem presente em cerca de 70% dos sites, alertando que páginas não atualizadas rapidamente correm risco de invasão.
Diante da situação, o governo brasileiro emitiu um alerta na quarta-feira (21), por meio do Centro Integrado de Segurança Cibernética do Governo Digital (CISC), orientando órgãos públicos a atualizarem o software imediatamente. Em contato com a reportagem, o Gabinete de Segurança Institucional da Presidência da República (GSI) informou que advertiu os gestores de Tecnologia da Information da Administração Pública Federal para que realizem a atualização imediata de seus sistemas. Por sua vez, o Ministério da Gestão e da Inovação em Serviços Públicos (MGI) declarou que a situação foi comunicada a todas as unidades de tecnologia do governo federal com a instrução de retirar temporariamente do ar os sistemas desenvolvidos em PHP. Especialistas consultados relataram que, até o momento, não há registros de grandes impactos no país.
Suspensão do sistema SEI e tribunais afetados
A Anatel optou por suspender de forma temporária o acesso externo ao SEI e a outros serviços mantidos na internet, classificando a medida como preventiva para resguardar sistemas e informações durante avaliações técnicas. O Tribunal Regional Federal da 4ª Região (TRF4) e o Tribunal Regional Federal da 1ª Região (TRF1) confirmaram a suspensão do acesso externo à mesma plataforma. O TRF1 ressaltou que a ação tem caráter preventivo para proteger a segurança do sistema e a integridade de dados institucionais, acrescentando que o acesso externo não possui previsão de restabelecimento. O Tribunal Regional Federal da 6ª Região (TRF6) adotou o mesmo procedimento em relação ao SEI e ao seu sistema de processo judicial eletrônico. O Tribunal Superior Eleitoral (TSE) foi acionado para esclarecer se os sistemas foram atingidos e se há reflexos nas eleições deste ano, aguardando-se retorno.
Impacto internacional
Agências governamentais e empresas em âmbito global também interromperam o funcionamento de sites na quarta-feira em decorrência das falhas. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) solicitou que organizações corrigissem os problemas de imediato ou desativassem os sistemas vulneráveis. Na França, a pedido da Agência Nacional de Cibersegurança francesa, páginas de administrações locais — incluindo a da Prefeitura de Polícia de Paris — ficaram inacessíveis a partir da tarde de quarta-feira. Conforme o Ministério do Interior francês, a decisão ocorreu após a detecção de uma vulnerabilidade crítica de segurança.
As falhas foram reportadas originariamente em agosto deste ano pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT, que as identificaram de maneira independente no mesmo dia. Posteriormente, a empresa de segurança na nuvem Wiz comunicou ter localizado formas adicionais de exploração das vulnerabilidades. A Wiz classificou as descobertas como algumas das mais graves já registradas na história do PHP e, possivelmente, do software. A companhia apontou que utilizou os modelos de inteligência artificial Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, para identificar as falhas. Conforme a Wiz, vulnerabilidades críticas permaneceram sem resposta por mais de uma década devido à extrema complexidade de sua descoberta e exploração sem o auxílio da inteligência artificial.