Uma vulnerabilidade crítica na linguagem PHP, descoberta por inteligência artificial, colocou governos e corporações globais em estado de alerta máximo nesta quinta-feira (22). O detalhe que torna o episódio inédito: a falha permaneceu oculta por décadas até que algoritmos a localizaram, e os detalhes vazaram antes que as correções estivessem prontas.
Em poucas horas, a corrida virou uma disputa contra o relógio. A Cloudflare registrou milhares de tentativas de exploração nas 10 horas anteriores ao anúncio público. Quarenta e cinco minutos depois da divulgação, o número saltou para dezenas de milhares. Em duas horas, centenas de milhares. Agora, contam-se milhões.
O dia em que a internet parou por precaução
Do Japão à Finlândia, serviços essenciais foram derrubados voluntariamente. No arquipélago nipônico, a corretora Nomura, o banco Mitsubishi UFJ, a companhia aérea ANA e a East Japan Railway suspenderam operações online. O Ministério das Finanças e a Agência Meteorológica japonesa fizeram o mesmo. Na Europa, o governo francês retirou sites do ar na quarta-feira (21); o Centro Nacional de Cibersegurança do Reino Unido emitiu alerta oficial.
A Finlândia oferece o retrato mais preciso do esforço necessário. A Valtori, provedora estatal de TI, trabalhou a noite toda aplicando patches e só começou a restaurar serviços gradualmente. O diretor-geral Hannu Naumanen avisou: a normalização pode levar dias ou semanas, pois cada sistema precisa ser testado após a atualização.
Brasil: SEI fora do ar e alerta federal
O impacto chegou ao setor público brasileiro. O SEI (Sistema Eletrônico de Informações), usado por órgãos federais para gestão de documentos e processos, ficou indisponível. A Anatel confirmou que a causa é a vulnerabilidade no PHP e não deu prazo para retorno. O CTIR.Gov recomendou que todas as instituições identifiquem sistemas baseados na linguagem, verifiquem versões e apliquem as atualizações imediatamente.
- 1,5 milhão de 2,6 milhões de servidores monitorados pela Censys rodam versões ainda sem correção
- Todas as versões do PHP lançadas nos últimos 20 anos estão expostas
- Plataformas como WordPress, Drupal, Moodle, Joomla e Magento dependem diretamente da linguagem
Por que a IA mudou o jogo
Madeline Lawrence, cofundadora da Aikido Security, resume o cenário: “Os detalhes se tornaram públicos antes que as correções estivessem prontas, e ataques vêm sendo relatados desde então. As empresas estão correndo para se atualizar antes dos invasores, que podem usar IA para explorar essas falhas. Essa é toda a corrida.”
Satya Nadella, CEO da Microsoft, definiu o episódio em poucas palavras durante evento na Alemanha: “Fazia muito, muito tempo que eu não via nada parecido.” O executivo destacou que o caso expõe a fragilidade de ecossistemas digitais cuja manutenção segura não foi planejada desde a origem.
O que observar nas próximas semanas
A China determinou inspeções imediatas e troca de credenciais onde houver exposição. A Coreia do Sul elevou o nível de alerta cibernético para o setor privado. Agências de segurança de múltiplos países recomendam uma única estratégia: atualize agora ou tire o site do ar até conseguir.
Para equipes de TI e gestores de risco, o recado prático é claro: o inventário de ativos que rodam PHP precisa estar pronto antes do próximo anúncio de vulnerabilidade crítica. A janela entre divulgação e exploração em massa mede-se agora em minutos — e a IA, que encontrou a falha, também estará do lado de quem ataca.
