Falha no PHP descoberta com IA faz Anatel e tribunais suspenderem sistemas no Brasil
Duas falhas graves de segurança no PHP, uma das linguagens de programação mais populares para criar sites, levaram a Agência Nacional de Telecomunicações (Anatel) e tribunais federais brasileiros a suspender, por precaução, o acesso externo ao Sistema Eletrônico de Informações (SEI), plataforma de processos administrativos. O governo federal emitiu um alerta para que os órgãos públicos atualizem o software imediatamente.
As falhas podem permitir que invasores assumam o controle dos servidores que mantêm os sites funcionando, sem precisar de login ou senha, e roubem dados. Os desenvolvedores do PHP lançaram atualizações para corrigir o problema na quarta-feira (21). No mesmo dia, o aviso do governo foi divulgado pelo Centro Integrado de Segurança Cibernética do Governo Digital (CISC).
Além da Anatel, os Tribunais Regionais Federais da 1ª Região (TRF1) e da 4ª Região (TRF4) confirmaram a suspensão do acesso externo ao SEI. O TRF6 também suspendeu o sistema de processo judicial eletrônico. "A medida tem caráter preventivo e visa resguardar a segurança do sistema e a integridade das informações institucionais", afirmou o TRF1, que disse não haver previsão para restabelecer o acesso. Até o momento, segundo especialistas ouvidos pelo g1, não há relatos de grandes impactos no Brasil.
O PHP está por trás de serviços como Facebook, Wikipédia e WordPress, além de plataformas de ensino e de lojas virtuais. "Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites", disse ao g1 Thiago Ayub, diretor de tecnologia da Sage Networks. No exterior, a Agência de Segurança Nacional dos Estados Unidos (NSA) recomendou corrigir os sistemas ou desligá-los, e sites públicos foram tirados do ar na França, na Finlândia e na Escócia. A Wikimedia, organização por trás da Wikipédia, desativou parte dos sistemas por precaução.
As falhas foram reportadas em agosto pela empresa de segurança Calif e pela OpenAI, que as identificaram de forma independente no mesmo dia. Depois, a Wiz informou ter encontrado outras formas de explorá-las, com o uso dos modelos de inteligência artificial Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. Segundo a BBC, detalhes da descoberta vazaram nesta semana, o que forçou a divulgação às pressas. "Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software", afirmou a Wiz.
A recomendação aos responsáveis por sites é instalar a versão mais recente do PHP. Segundo especialistas ouvidos pela BBC, é provável que surjam mais tentativas de explorar as falhas nas próximas semanas.