A Anatel e três tribunais regionais federais suspenderam o acesso externo ao Sistema Eletrônico de Informações (SEI) depois da descoberta de duas falhas de segurança no PHP. As brechas permitem que invasores assumam o controle de servidores sem login nem senha.
Na quarta-feira (21), o Centro Integrado de Segurança Cibernética do Governo Digital (CISC) mandou os órgãos públicos atualizarem o software imediatamente. A correção já está disponível.
Segundo especialistas consultados pelo g1, até agora não há relatos de grandes impactos no país.
Quem desligou o quê
A Anatel bloqueou temporariamente o acesso externo ao SEI e a outros serviços que mantém na internet. A agência diz que a medida é preventiva e serve para proteger sistemas e informações enquanto as avaliações técnicas são feitas.
No Judiciário, o Tribunal Regional Federal da 4ª Região (TRF4) e o Tribunal Regional Federal da 1ª Região (TRF1) confirmaram o bloqueio do acesso externo ao SEI, a plataforma de processos administrativos. O Tribunal Regional Federal da 6ª Região (TRF6) foi além: pelo mesmo motivo, também suspendeu o sistema de processo judicial eletrônico.
O episódio acontece meses depois de o Superior Tribunal Militar passar semanas com o portal fora do ar após um incidente cibernético.
Por que o PHP preocupa
O PHP é uma das linguagens de programação mais usadas para criar sites. O software de mesmo nome, gratuito e de código aberto, interpreta e executa o código escrito nessa linguagem.
A tecnologia está por trás de serviços como Facebook, Wikipedia e WordPress, além do Moodle, plataforma usada por instituições de ensino, e do Magento, voltado a lojas virtuais. Com uma base tão grande, uma brecha que permite controle remoto de servidores sem autenticação atinge, em potencial, uma parte enorme da web.
Alerta global e o papel da IA
A reação não ficou restrita ao Brasil. Agências governamentais e empresas de vários países tiraram sites do ar na quarta-feira. A Agência de Segurança Nacional dos Estados Unidos (NSA) pediu que as organizações corrigissem as falhas imediatamente ou desligassem os sistemas vulneráveis. Na véspera, governos e empresas já vinham tirando sites do ar, como mostramos aqui.
Na França, sites de administrações locais, entre eles o da Prefeitura de Polícia de Paris, ficaram inacessíveis desde a tarde de quarta, a pedido da Agência Nacional de Cibersegurança. O Ministério do Interior atribuiu a medida à “detecção de uma vulnerabilidade crítica de segurança”.
Descoberta com ajuda de modelos de IA
As falhas foram comunicadas em agosto pela empresa de segurança Calif e pela OpenAI, que as encontraram de forma independente no mesmo dia. Depois, a Wiz, especializada em segurança na nuvem, achou outras formas de explorá-las usando os modelos Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI.
“Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas”, afirmou a Wiz. O caso reforça o alerta feito em maio, quando o Google barrou o primeiro ataque documentado a usar IA para achar uma brecha zero-day.