Uma vulnerabilidade classificada como “das mais graves da história do software” forçou a Anatel e três tribunais regionais federais a desligarem o acesso externo ao SEI — o sistema que move a máquina administrativa do país. A correção existe, mas a janela para aplicar antes que invasores explorem a brecha está se fechando.
O alerta partiu do Centro Integrado de Segurança Cibernética do Governo Digital na quarta-feira (21). O que vem a seguir pode definir se seu órgão ou empresa vira manchete por vazamento de dados ou apenas aplica um patch e segue a vida.
Duas falhas, um mesmo efeito: controle total sem senha
As vulnerabilidades — identificadas como CVE-2024-4577 e uma segunda ainda sem código CVE público — permitem execução remota de código arbitrário. Em português claro: um atacante assume o servidor sem precisar de login, senha ou qualquer credencial.
O PHP roda em aproximadamente 70% dos sites do mundo, segundo rankings públicos. WordPress, Moodle, Magento, Wikipedia e uma fatia massiva de sistemas governamentais dependem da linguagem. A superfície de ataque é, portanto, colossal.
Thiago Ayub, diretor de tecnologia da Sage Networks, resume o risco: “Essa vulnerabilidade tem potencial para gerar um grande efeito dominó, com vazamentos de dados e interrupções de serviços, atingindo até sistemas que não usam PHP e que, até então, eram considerados seguros.”
O que aconteceu no Brasil nas últimas 48 horas
- Anatel: suspendeu acesso externo ao SEI e outros serviços web preventivamente
- TRF4 e TRF1: cortaram acesso externo ao SEI sem previsão de retorno (TRF1)
- TRF6: suspendeu SEI e processo judicial eletrônico, mas restabeleceu ambos na quinta (22)
- TSE: consultado sobre impactos nas eleições 2024 — resposta ainda pendente
Até o momento, não há relatos de exploração massiva em território nacional. A palavra-chave é “até o momento”.
IA encontrou o que humanos não viram por uma década
A descoberta não veio de auditoria manual tradicional. Em agosto, a empresa de segurança Calif e a OpenAI (dona do ChatGPT) reportaram as falhas independentemente — no mesmo dia. Depois, a Wiz revelou ter encontrado vetores de exploração adicionais usando modelos de IA: Gemini 4 Argon (Google) e GPT-5.6 Sol (OpenAI).
“Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração eram incrivelmente complexas sem o uso da IA”, afirmou a Wiz em comunicado na quarta.
Isso muda o jogo: o tempo entre descoberta e armação de exploit cai drasticamente quando modelos de linguagem grande entram na equação. O que antes levava meses de pesquisa especializada agora pode ser acelerado por agentes autônomos.
Reação internacional: NSA mandou desligar
A Agência de Segurança Nacional dos EUA (NSA) emitiu diretiva para que organizações corrijam imediatamente ou desliguem sistemas vulneráveis. Na França, a Agência Nacional de Cibersegurança ordenou a queda de sites de administrações locais — incluindo a Prefeitura de Polícia de Paris — na tarde de quarta-feira.
O Ministério do Interior francês classificou a vulnerabilidade como “crítica”. A sincronia global das respostas indica consenso entre agências de inteligência: o risco é real e imediato.
Checklist para quem gestiona sistemas baseados em PHP
- Aplicar as versões patched: PHP 8.3.11, 8.2.23 ou 8.1.30 (conforme branch em uso)
- Se não for possível atualizar agora: isolar o servidor da internet (WAF, VPN, segmentação de rede)
- Verificar logs de acesso anômalo nas últimas 72h — padrões de POST com payloads longos em endpoints CGI
- Validar se fornecedores SaaS/PaaS já aplicaram correção na camada de infraestrutura
- Comunicar à equipe de resposta a incidentes: o vetor não exige autenticação, então alertas de “login suspeito” não capturam esse ataque
O que observar daqui para frente
Os próximos 14 dias são decisivos. Histórico de vulnerabilidades críticas no PHP (como CVE-2019-11043) mostra que exploits públicos funcionais surgem em até duas semanas após o anúncio. Grupos de ransomware e APTs já estão integrando esse vetor em suas ferramentas de varredura automatizada.
Para o setor público brasileiro, a lição imediata é clara: a dependência de uma única stack tecnológica (SEI sobre PHP) cria ponto de falha sistêmico. Diversificação de camadas de aplicação e adoção de arquiteturas zero-trust deixam de ser “boas práticas” e viram requisito de continuidade.
No setor privado, a conta chega na forma de compliance: LGPD, Bacen, CVM e regulações setoriais exigem demonstração de gestão de vulnerabilidades críticas em tempo hábil. Quem não tiver evidências de patch ou mitigação documentada até a próxima auditoria terá problema maior que o custo da atualização.
A correção é gratuita, está disponível e leva minutos em ambientes controlados. O custo de não fazer? Esse ainda está sendo calculado em tribunais, agências e empresas que acordaram hoje com seus sistemas fora do ar.
