O governo federal alertou os órgãos públicos para que atualizem o software. As falhas foram identificadas com ajuda de inteligência artificial (IA), e já existe uma correção disponível.
O governo federal alertou órgãos públicos para atualizar o PHP e corrigir as falhas de segurança. Anatel suspende acesso ao SEI, usado para gerenciar documentos e processos administrativos. – Imagem: edusma7256 / Shutterstock
Como funcionam as falhas no PHP?
O PHP é uma linguagem de programação usada na criação de sites e serviços digitais. A tecnologia está presente em plataformas como WordPress , Wikipedia , Moodle e Magento, que dependem dela para executar diferentes funções.
As vulnerabilidades podem permitir que invasores executem ações nos servidores sem apresentar credenciais e, com isso, assumam o controle das máquinas que mantêm os sites funcionando. O risco envolve páginas institucionais, lojas virtuais e outros serviços que utilizam versões vulneráveis do PHP.
Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações, destacou o alcance da tecnologia. “Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, afirmou.
O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) divulgou um alerta na quarta-feira (21). Ao g1, o Gabinete de Segurança Institucional (GSI) confirmou que orientou os gestores de Tecnologia da Informação da Administração Pública Federal a atualizar os sistemas imediatamente.
O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) informou que a situação foi comunicada às equipes de tecnologia do governo federal , com orientação para retirar temporariamente do ar os sistemas desenvolvidos em PHP.
Quais sistemas foram afetados no Brasil?
A Anatel suspendeu o acesso externo ao SEI e a outros serviços da agência disponíveis na internet enquanto realiza avaliações técnicas. A plataforma é usada por órgãos públicos para criar, organizar e acompanhar documentos e processos administrativos digitais.
A mesma precaução foi adotada pelos Tribunais Regionais Federais da 1ª, 4ª e 6ª Regiões. O TRF1 informou que não havia previsão para restabelecer o acesso externo ao SEI. Já o TRF6 também suspendeu o acesso ao sistema de processo judicial eletrônico.
O Tribunal Superior Eleitoral (TSE) foi procurado pelo g1 para esclarecer se as falhas afetam seus sistemas e se há possíveis consequências para as eleições deste ano. Até então, especialistas consultados pelo portal não haviam relatado grandes impactos no Brasil.
As principais medidas adotadas diante do problema incluem:
Suspensão temporária do acesso externo a sistemas públicos;
Avaliação técnica dos serviços que utilizam PHP;
Atualização do software para corrigir as vulnerabilidades;
Desligamento de sistemas vulneráveis quando a correção imediata não é possível.
Administradores de rede devem aplicar os pacotes de correção imediatamente para normalizar acessos. – Imagem: R.Narong/Shutterstock
Como a inteligência artificial ajudou a encontrar as falhas?
A empresa de segurança Calif e a OpenAI, responsável pelo ChatGPT, identificaram as vulnerabilidades de forma independente, em agosto. Posteriormente, a Wiz, especializada em segurança na nuvem, encontrou outras maneiras de explorar os problemas.
Na investigação, a Wiz utilizou os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. A empresa destacou a gravidade das descobertas: “Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou na quarta-feira (21).
A Wiz também ressaltou a dificuldade de encontrar essas falhas sem ferramentas de inteligência artificial. “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e a exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”, declarou.
A preocupação ultrapassou as fronteiras brasileiras. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) recomendou que as organizações corrigissem os problemas imediatamente ou desligassem os sistemas vulneráveis. Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis após uma solicitação da agência nacional de cibersegurança.
A atualização do PHP é necessária para corrigir as falhas. Sites que continuam usando versões vulneráveis sem instalar a correção permanecem expostos a possíveis invasões.
O post Falhas críticas no PHP tiram sistemas públicos do ar no Brasil apareceu primeiro em Olhar Digital .
