Uma vulnerabilidade crítica no PHP, linguagem que sustenta cerca de 70% dos sites no mundo, forçou a Anatel e tribunais federais a suspenderem o acesso externo ao SEI, sistema vital para a tramitação de processos administrativos. O governo federal emitiu alerta máximo para que todos os órgãos apliquem o correção imediatamente. O risco: invasores assumem o controle total do servidor sem precisar de senha.
A falha foi descoberta com ajuda de inteligência artificial e já tem correção disponível, mas a janela para atualização é estreita. Especialistas classificam o episódio como um dos mais graves da história do software.
O que está em jogo para empresas e órgãos públicos
As duas brechas permitem execução remota de código (RCE) sem autenticação. Na prática, quem explora a vulnerabilidade ganha as chaves do servidor — dados, bancos de dados, credenciais e a capacidade de mover-se lateralmente na rede. O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) publicou o aviso na quarta-feira (21), determinando prioridade máxima.
O Gabinete de Segurança Institucional (GSI) confirmou que gestores de TI de toda a Administração Pública Federal foram notificados para aplicar o patch ou, se não for possível de imediato, retirar o sistema do ar. O Ministério da Gestão reforçou: a orientação vale para qualquer sistema desenvolvido em PHP, não apenas o SEI.
A corrida contra o tempo nos tribunais e na Anatel
A medida preventiva derrubou o acesso externo ao SEI em pelo menos três tribunais regionais federais e na agência reguladora. A lista de impactados diretos inclui:
- TRF-1 (Brasília): sem previsão de restabelecimento do acesso externo.
- TRF-4 (Porto Alegre): suspensão preventiva confirmada.
- TRF-6 (Belo Horizonte): estendeu o bloqueio ao sistema de processo judicial eletrônico.
- Anatel: tirou do ar o SEI e outros serviços web da autarquia.
O Tribunal Superior Eleitoral (TSE) ainda não se manifestou se os sistemas eleitorais — também baseados em tecnologias web — foram afetados ou blindados a tempo.
Alerta global: NSA e França também agiram
O cenário não é exclusivo do Brasil. A Agência de Segurança Nacional dos EUA (NSA) orientou organizações a corrigirem a falha imediatamente ou desligarem os servidores vulneráveis. Na França, a Agência Nacional de Cibersegurança determinou a queda temporária de sites de administrações locais, incluindo a Prefeitura de Polícia de Paris.
A sincronia das ações internacionais mostra a gravidade técnica: a exploração é confiável, silenciosa e não deixa rastros óbvios em logs convencionais.
Como a IA encontrou o que humanos ignoraram por uma década
O detalhe mais revelador vem da empresa de segurança Wiz. Segundo seus pesquisadores, as brechas existiam há mais de dez anos, mas a complexidade para descobri-las e explorá-las era “incrivelmente alta” sem automação avançada. A virada veio com o uso de modelos de linguagem de grande escala: Gemini (Google) e GPT (OpenAI) foram empregados para varrer o código-fonte do PHP e identificar vetores de ataque que escapavam a análises manuais e ferramentas tradicionais.
A descoberta inicial ocorreu em agosto, reportada independentemente pela Calif e pela OpenAI. Dias depois, a Wiz demonstrou variantes de exploração ainda mais perigosas. O episódio marca uma mudança de paradigma: a IA deixa de ser apenas alvo de segurança para se tornar a principal ferramenta de caça a vulnerabilidades de alta complexidade.
O que observar daqui para frente
A correção já está disponível nas versões 8.1.29, 8.2.20 e 8.3.8 do PHP. Para gestores de TI, a prioridade agora é triagem: inventariar todos os ativos que rodam PHP (servidores web, aplicações legadas, containers, appliances de terceiros), aplicar o patch e validar se houve comprometimento prévio — logs de acesso anômalos, processos suspeitos ou contas de serviço criadas sem autorização.
Empresas que dependem de fornecedores de software devem cobrar posicionamento formal sobre a atualização. O próximo mês dirá se a resposta rápida conteve a ameaça ou se veremos vazamentos de dados decorrentes de exploração silenciosa ocorrida antes do alerta público.
