A Anatel e ao menos três tribunais federais suspenderam nesta semana o acesso externo ao SEI, o sistema eletrônico que tramita processos administrativos do governo, após a revelação de duas falhas graves de segurança no PHP, uma das linguagens de programação mais usadas da internet. As vulnerabilidades, escondidas no software havia mais de uma década, vieram à tona com a ajuda de inteligência artificial e provocaram um alerta global: governos da Finlândia ao Japão tiraram sites do ar por precaução, e agências de segurança de vários países pediram correção imediata, segundo reportagens do g1 e da BBC News Brasil.
Para entender o tamanho do problema, pense no PHP como o garçom invisível da internet: quando você abre um site como a Wikipédia, é ele que vai até a "cozinha" do servidor, pega as informações e as serve na sua tela. Rankings públicos apontam a linguagem em cerca de 70% dos sites, disse ao g1 Thiago Ayub, diretor de tecnologia da Sage Networks. A falha permite que um invasor assuma o controle do servidor sem precisar de login nem senha e roube dados confidenciais. Na prática, é como descobrir que a fechadura de milhões de portas instaladas anos atrás pode ser aberta com uma chave mestra que qualquer um consegue copiar.
As falhas foram reportadas inicialmente em agosto, de forma independente e no mesmo dia, pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT. Depois, a Wiz, empresa de segurança em nuvem, informou ter encontrado outras formas de explorar as vulnerabilidades usando os modelos de IA Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. As empresas capricharam nos superlativos: a Wiz chamou as falhas de "as mais graves já detectadas por IA", e a OpenAI falou em "um dos problemas de segurança mais impactantes da história recente". Vale olhar os incentivos em jogo: a Wiz vende justamente serviços de segurança, e OpenAI e Google querem provar que seus modelos são úteis além do bate-papo. O alerta foi endossado por agências governamentais independentes, então o risco é real. O tom do marketing, porém, também atende a esses interesses comerciais.
No Brasil, a Anatel suspendeu temporariamente o acesso externo ao SEI e a outros serviços da agência na internet, em caráter preventivo. Os tribunais regionais federais da 1ª, da 4ª e da 6ª regiões confirmaram medidas parecidas. "A medida tem caráter preventivo e visa resguardar a segurança do sistema e a integridade das informações institucionais", afirmou o TRF1, que não deu previsão para o restabelecimento do acesso externo. O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) emitiu alerta na quarta-feira (21) para que órgãos públicos atualizem o software imediatamente. O g1 procurou o TSE para saber se as falhas afetam sistemas ligados às eleições e aguardava resposta. Até o momento, não há relatos de grandes impactos no país, segundo especialistas ouvidos pelo portal.
No exterior, a reação também foi rápida. A Agência de Segurança Nacional dos EUA (NSA) orientou organizações a corrigir a falha ou desligar os sistemas vulneráveis e afirmou que o risco exige correções imediatas em todos os órgãos do governo americano. O Reino Unido recomendou verificar a existência de "portas traseiras instaladas por um invasor", e alertas semelhantes saíram na União Europeia, em Singapura e na Austrália. No Japão, a primeira-ministra Sanae Takaichi escreveu no X: "Temos um pedido urgente para que todos tomem providências esta noite". A Wikimedia, o governo da Finlândia, a prefeitura de Edimburgo e a própria BBC estão entre os que tiraram sites do ar por algum período. Na França, até o site da Prefeitura de Polícia de Paris ficou inacessível a pedido da agência nacional de cibersegurança. Os mantenedores do PHP lançaram na quarta-feira as atualizações que corrigem as falhas e recomendaram que todos os usuários atualizem imediatamente.
O que ainda não sabemos
Não se sabe se hackers exploraram as falhas durante os anos em que elas passaram despercebidas. Os detalhes técnicos só agora estão sendo divulgados, e a tendência é que as tentativas de exploração aumentem nas próximas semanas, afirmou à BBC o pesquisador Salil Kanhere, da UNSW Sydney. A maior preocupação são os sites pequenos e sem manutenção, de organizações que não têm equipe de segurança e podem demorar a atualizar, ou nem saber que usam PHP.
Na prática: se você administra um site, especialmente em WordPress, Moodle ou Magento, todos baseados em PHP, a orientação dos mantenedores é aplicar a atualização agora ou tirar a página do ar temporariamente, como fizeram a Anatel e os tribunais. Se você é apenas usuário, resta acompanhar se os serviços que você usa voltaram ao ar e seguir os comunicados oficiais de cada um.