Falhas graves no PHP derrubam sistemas da Anatel e tribunais brasileiros

A Agência Nacional de Telecomunicações (Anatel) e tribunais federais brasileiros suspenderam temporariamente o acesso a sistemas digitais após a identificação de duas vulnerabilidades críticas no PHP, uma das linguagens de programação mais utilizadas na internet. As interrupções começaram na quarta-feira (21) e foram adotadas como medida preventiva para proteger informações institucionais. O governo federal também emitiu um alerta de segurança diante do risco de invasões a servidores e vazamento de dados.

Entre os serviços afetados está o Sistema Eletrônico de Informações (SEI), utilizado por órgãos públicos para administrar documentos e processos. A Anatel suspendeu o acesso externo à plataforma e a outros serviços disponibilizados pela agência na internet. Segundo o órgão, a decisão busca preservar a segurança dos sistemas enquanto são realizadas avaliações técnicas.

As restrições também atingiram o Tribunal Regional Federal da 1ª Região (TRF1) e o Tribunal Regional Federal da 4ª Região (TRF4), que interromperam o acesso externo ao SEI. Já o Tribunal Regional Federal da 6ª Região (TRF6), responsável pela Justiça Federal em Minas Gerais, suspendeu o acesso ao sistema de processo judicial eletrônico e ao SEI. As medidas provocaram alterações no funcionamento de serviços administrativos e judiciais.

O problema está relacionado a duas falhas identificadas como CVE-2026-109618 e CVE-2026-109619. Segundo especialistas em segurança digital, as vulnerabilidades podem permitir que invasores executem comandos remotamente em servidores que utilizam versões afetadas do PHP, mesmo sem possuir login ou senha. Em determinadas situações, isso poderia resultar no acesso indevido a informações, alterações em sistemas e comprometimento de dados.

O PHP é utilizado no funcionamento de diversas plataformas digitais, incluindo WordPress, Moodle, Drupal e sistemas de comércio eletrônico. De acordo com a empresa de segurança Wiz, a linguagem está presente em cerca de 70% dos sites da internet. A empresa classificou as vulnerabilidades entre as mais graves já identificadas na tecnologia, destacando que sua exploração poderia comprometer milhões de aplicações.

Diante da gravidade do problema, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou, na quarta-feira (21), uma recomendação para que órgãos públicos e empresas atualizem imediatamente seus sistemas. As versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 já contêm correções para as duas falhas. Caso a atualização não possa ser realizada imediatamente, a orientação é restringir temporariamente o acesso externo às aplicações vulneráveis.

A situação também provocou medidas preventivas em outros países. Nos Estados Unidos, autoridades de segurança recomendaram ações imediatas para proteger servidores. Na França, sites de administrações públicas, incluindo serviços ligados à Prefeitura de Polícia de Paris, ficaram temporariamente indisponíveis após alertas sobre os riscos.

As vulnerabilidades foram identificadas com auxílio de ferramentas avançadas de inteligência artificial. Segundo a Wiz, modelos desenvolvidos pelo Google e pela OpenAI contribuíram para encontrar e analisar problemas de segurança que permaneceram desconhecidos durante anos. A descoberta reforçou o debate sobre o uso da inteligência artificial tanto na proteção quanto na identificação de possíveis fragilidades em sistemas digitais.