Vulnerabilidades podem permitir o controle de servidores sem login ou senha; governo alerta órgãos públicos e atualização já está disponível
A Anatel e tribunais brasileiros suspenderam temporariamente o acesso externo a sistemas após a identificação de duas falhas graves de segurança no PHP, tecnologia usada na criação e operação de sites. As medidas são preventivas e buscam proteger servidores e informações institucionais.
As vulnerabilidades podem permitir que invasores assumam o controle de servidores sem precisar de login ou senha. Uma atualização para corrigir o problema já foi disponibilizada, e o governo brasileiro orientou órgãos públicos a instalá-la imediatamente.
As informações foram divulgadas pelo g1, que ouviu órgãos públicos e especialistas. Até o momento, não há relatos de grandes impactos no Brasil, segundo os especialistas consultados pelo veículo.
SEI é suspenso em órgãos públicos
A Anatel informou que suspendeu temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outros serviços da agência na internet. A decisão foi tomada enquanto são realizadas avaliações técnicas sobre a segurança dos sistemas.
O SEI é utilizado por órgãos e entidades públicas para criar, organizar e acompanhar documentos e processos administrativos em formato digital. Os Tribunais Regionais Federais da 1ª, 4ª e 6ª regiões também confirmaram medidas relacionadas ao sistema. O TRF1 afirmou que a suspensão tem caráter preventivo e que, até o momento, não há previsão para o restabelecimento do acesso externo.
O TRF6 informou ainda ter suspendido o acesso ao sistema de processo judicial eletrônico e ao SEI pelo mesmo motivo. O g1 procurou o Tribunal Superior Eleitoral para saber se as falhas afetam seus sistemas e se podem causar impactos nas eleições deste ano, mas aguardava resposta.
Governo recomenda atualização imediata
O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) divulgou um alerta na quarta-feira, dia 21, recomendando que órgãos públicos atualizem imediatamente o PHP. O Gabinete de Segurança Institucional informou ter avisado os gestores de tecnologia da informação da Administração Pública Federal.
Segundo o Ministério da Gestão e da Inovação em Serviços Públicos, a situação foi comunicada às unidades de tecnologia do governo federal, com orientação para retirar temporariamente do ar sistemas desenvolvidos em PHP.
O PHP é uma linguagem de programação usada para criar sites e também o nome do software gratuito e de código aberto que interpreta e executa esse código. A tecnologia está presente em serviços como Facebook, Wikipedia e WordPress, além de plataformas como Moodle e Magento.
Falhas também afetam sistemas no exterior
Agências governamentais e empresas de diferentes países retiraram sites do ar após a descoberta das vulnerabilidades. A Agência de Segurança Nacional dos Estados Unidos pediu que organizações corrigissem os problemas imediatamente ou desligassem os sistemas vulneráveis.
Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis após uma solicitação da agência nacional de cibersegurança do país. O Ministério do Interior francês informou que a medida ocorreu depois da detecção de uma vulnerabilidade crítica.
Vulnerabilidades foram identificadas com auxílio de inteligência artificial
As falhas foram reportadas inicialmente em agosto pela empresa de segurança Calif e pela OpenAI, que as identificaram de forma independente no mesmo dia. Depois, a empresa de segurança em nuvem Wiz informou ter encontrado outras formas de explorar os problemas.
A Wiz afirmou que utilizou os modelos de inteligência artificial Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI, na identificação das vulnerabilidades. Segundo a empresa, as falhas estão entre as mais graves já descobertas no PHP.
Especialistas alertam que sites que não forem atualizados rapidamente podem ficar sujeitos a invasões. A recomendação divulgada pelas autoridades é corrigir o software ou manter os sistemas vulneráveis temporariamente fora do ar.
