Na manhã de 21 de setembro de 2024, a Anatel e três tribunais federais suspendam o acesso externo ao Sistema Eletrônico de Informações (SEI) como medida preventiva. A decisão foi tomada após a identificação de duas vulnerabilidades graves no PHP, linguagem que suporta milhões de sites ao redor do mundo. O alerta oficial foi divulgado pelo Centro Integrado de Segurança Cibernética do Governo Digital (CISC) na mesma data.
Entendendo a vulnerabilidade no PHP
O PHP, sigla para Hypertext Preprocessor, é uma linguagem de script de código aberto que permite a criação de páginas dinâmicas e aplicações web. Por ser gratuito e ter ampla documentação, ele está presente em plataformas como WordPress, Magento, Moodle e até em serviços de grande porte como Facebook e Wikipedia.
As falhas descobertas podem permitir que um invasor assuma o controle total de um servidor sem precisar de credenciais de login. Em termos técnicos, a vulnerabilidade permite a execução remota de código arbitrário, o que abre caminho para a instalação de backdoors, roubo de dados e comprometimento de toda a infraestrutura.
A descoberta foi feita por ferramentas de inteligência artificial desenvolvidas por duas empresas de segurança: a Wiz utilizou os modelos Gemini 4 Argon, do Google, e GPT‑5.6 Sol, da OpenAI; a Calif e a própria OpenAI relataram a vulnerabilidade de forma independente no mesmo dia.
Uma atualização corretiva já está disponível nos repositórios oficiais do PHP. Contudo, a aplicação da correção depende da agilidade de cada organização em atualizar seus servidores, o que pode ser um processo demorado em ambientes corporativos e governamentais.
Impactos nos órgãos públicos e internacionais
Além da Anatel, que bloqueou temporariamente o acesso externo ao SEI e a outros serviços digitais, os tribunais regionais da 1ª, 4ª e 6ª regiões confirmaram a suspensão do acesso ao sistema de processos eletrônicos. A medida visa impedir que possíveis atacantes explorem as brechas enquanto as equipes técnicas realizam avaliações aprofundadas.
O governo federal emitiu um comunicado exigindo que todas as entidades públicas atualizem imediatamente o PHP em seus ambientes. Até o momento, não há relatos de incidentes graves ou comprometimento de dados sensíveis no Brasil.
Outras nações também sofreram interrupções. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que organizações desliguem ou atualizem os sistemas vulneráveis. Na França, a Agência Nacional de Cibersegurança ordenou a indisponibilidade de sites de administrações locais, incluindo a Prefeitura de Polícia de Paris.
- Wikipedia
- WordPress
- Moodle
- Magento
Esses serviços, embora não tenham sido diretamente afetados, monitoram ativamente a situação e mantêm equipes de resposta a incidentes prontas para agir caso a vulnerabilidade seja explorada em produção.
Recomendações e próximos passos
Especialistas recomendam que todas as organizações, públicas ou privadas, adotem as seguintes práticas imediatamente:
- Aplicar o patch oficial do PHP disponibilizado em php.net;
- Realizar varreduras de vulnerabilidade em todos os servidores que executam PHP;
- Isolar ambientes críticos até que a atualização seja concluída;
- Monitorar logs de acesso em busca de atividades suspeitas;
- Estabelecer políticas de atualização automática para evitar atrasos futuros.
O CISC continuará acompanhando a evolução da situação e divulgará novas orientações caso sejam identificadas variantes da vulnerabilidade. Enquanto isso, a comunidade de desenvolvedores tem sido incentivada a reportar quaisquer comportamentos anômalos aos mantenedores do PHP.
Para o setor judicial, a suspensão do SEI pode gerar atrasos na tramitação de processos administrativos, mas a prioridade é garantir a integridade dos dados judiciais. Os tribunais já comunicaram que a retomada do serviço ocorrerá assim que forem concluídas as verificações de segurança.
Em nível global, a descoberta reforça a importância da inteligência artificial como ferramenta de segurança cibernética. A capacidade de identificar vulnerabilidades complexas em tempo recorde pode mudar o panorama de defesa das infraestruturas críticas.
Os usuários finais, como cidadãos que acessam serviços públicos digitais, podem perceber apenas pequenas interrupções temporárias. No entanto, a prevenção de um ataque massivo compensa amplamente qualquer inconveniente momentâneo.
Em resumo, a combinação de vulnerabilidades críticas no PHP, o uso de IA para sua detecção e a resposta rápida das autoridades demonstra um novo modelo de cooperação entre setor público, privado e comunidade de segurança. A expectativa é que, ao final do processo de atualização, a confiança nos sistemas digitais seja restabelecida de forma ainda mais robusta.
