Numa quinta-feira de outubro de 2026, parte do Estado brasileiro e de governos estrangeiros fechou temporariamente suas portas digitais diante de uma falha crítica no PHP, a linguagem invisível que sustenta quase tudo o que se acessa na web. A medida, tomada como prevenção e não como resposta a um ataque confirmado, revela uma fragilidade antiga: a dependência de estruturas que poucos enxergam e que muitos sistemas públicos jamais deixaram de herdar. Num tempo em que a inteligência artificial encurta o caminho entre descobrir uma brecha e explorá-la, a pergunta que fica é menos sobre a falha e
Falha crítica no PHP tira do ar sistemas do governo federal e tribunais no Brasil
Numa quinta-feira de outubro de 2026, parte do Estado brasileiro e de governos estrangeiros fechou temporariamente suas portas digitais diante de uma falha crítica no PHP, a linguagem invisível que sustenta quase tudo o que se acessa na web. A medida, tomada como prevenção e não como resposta a um ataque confirmado, revela uma fragilidade antiga: a dependência de estruturas que poucos enxergam e que muitos sistemas públicos jamais deixaram de herdar. Num tempo em que a inteligência artificial encurta o caminho entre descobrir uma brecha e explorá-la, a pergunta que fica é menos sobre a falha em si e mais sobre a capacidade de cada instituição, grande ou pequena, de se manter de pé quando a porta precisa ser trancada.
Na quinta-feira (22), parte da máquina pública brasileira amanheceu com as portas fechadas. Uma vulnerabilidade crítica no PHP, linguagem que move cerca de 70% da web, levou órgãos a desligar o acesso externo ao SEI, a principal plataforma de processos administrativos do país. O PHP é o que faz uma página ganhar vida: ele conversa com o banco de dados para conferir senhas, carregar compras e atualizar informações. Por isso, quando sua estrutura falha, o risco se espalha pela rede inteira, inclusive por sistemas populares como o WordPress.
A Anatel e os Tribunais Regionais Federais da 1ª, 4ª e 6ª regiões saíram do ar como medida preventiva. Não houve ataque confirmado, mas a brecha permitiria chegar aos dados sem precisar de senha, e o governo preferiu agir antes. Na véspera, o CISC e o GSI emitiram alertas de emergência, e o MGI recomendou tirar do ar plataformas estatais construídas na linguagem vulnerável até que sua segurança fosse atestada.
O fenômeno atravessou fronteiras. No Reino Unido, serviços públicos ficaram inacessíveis e foram religados aos poucos, após auditorias. Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, saíram do ar a pedido da agência nacional de cibersegurança.
Há ainda um dado novo: pesquisadores usaram modelos de inteligência artificial para varrer o código do PHP e encontraram falhas que estavam escondidas havia mais de uma década. A mesma tecnologia que ajuda a proteger também facilita ataques automatizados, e a Amazon registrou sinais de tentativas de exploração antes do anúncio oficial, o que levanta dúvidas sobre quem chegou primeiro.
O especialista Marcelo Branquinho, da TI Safe, lembra que milhares de tentativas não significam milhares de invasões, mas alerta que a maior fragilidade está nos sistemas legados de prefeituras e órgãos com poucos recursos. Para pequenos negócios com WordPress em hospedagem compartilhada, a recomendação é cobrar do provedor a confirmação da correção do PHP, pois atualizar apenas plugins não resolve.
Agora, o olhar se volta para a Rede Federal de Gestão de Incidentes Cibernéticos, coordenada pelo GSI. Na esfera federal a adesão é obrigatória, mas estados e municípios dependem de entrar na rede. O que se decidirá nos próximos dias é quão rápido os sistemas mais frágeis serão corrigidos e quando os serviços voltarão a funcionar.
Na quinta-feira (22), parte da máquina pública brasileira amanheceu com portas fechadas por um motivo que o cidadão comum não vê: uma vulnerabilidade crítica no PHP, linguagem de programação que funciona como motor invisível de quase 70% do que se acessa na web. Alguns órgãos do governo desligaram preventivamente o acesso externo ao Sistema Eletrônico de Informações (SEI), a principal plataforma de processos administrativos do país.
O PHP é o que torna uma página dinâmica. Um site estático mostra o mesmo texto a qualquer visitante, como um panfleto digital. Já o PHP vai ao banco de dados do servidor para conferir se a senha está correta, carregar o histórico de compras numa loja virtual ou atualizar informações em tempo real. Também sustenta sistemas de gerenciamento de conteúdo populares, como o WordPress, e por isso uma falha em sua estrutura coloca a rede inteira em risco.
No Brasil, foram afetados a Agência Nacional de Telecomunicações (Anatel) e cortes de Justiça, entre eles os Tribunais Regionais Federais da 1ª, 4ª e 6ª regiões. A retirada do ar buscou blindar os servidores contra invasões e roubo de dados enquanto as equipes de TI aplicam correções. O desligamento não significa que o governo tenha sido atacado, mas reflete a gravidade potencial do cenário: sem precisar de senha, criminosos poderiam usar a brecha para chegar direto aos bancos de dados dos servidores afetados.
Na quarta-feira (21), o Centro Integrado de Segurança Cibernética do Governo Digital (CISC) e o Gabinete de Segurança Institucional (GSI) emitiram alertas emergenciais orientando toda a Administração Pública Federal a atualizar seus sistemas. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) recomendou tirar do ar, temporariamente, qualquer plataforma estatal desenvolvida na linguagem vulnerável até que sua segurança seja atestada.
O movimento se repetiu fora do país. No Reino Unido, dezenas de serviços públicos ficaram inacessíveis pela manhã; as autoridades trataram as quedas como precaução e religaram os sistemas aos poucos ao longo do dia, após auditorias. Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, saíram do ar a partir da tarde de quarta, a pedido da Agência Nacional de Cibersegurança. O Ministério do Interior francês citou a detecção de uma vulnerabilidade crítica.
Há ainda um componente novo. Pesquisadores de empresas como Wiz e Calif, apoiados por tecnologias da OpenAI e do Google, usaram modelos avançados de inteligência artificial para varrer o código do PHP e encontraram falhas profundas que haviam passado despercebidas por mais de uma década. A descoberta foi mantida em sigilo até que as correções ficassem prontas. Segundo a Agência de Segurança Nacional dos Estados Unidos, esse tipo de falha frequentemente dá acesso direto ao sistema de arquivos ou ao banco de dados do servidor. Equipes de inteligência de ameaças da Amazon identificaram relatos preliminares de tentativas de exploração antes do anúncio oficial, o que levanta suspeitas sobre como os invasores tiveram acesso antecipado.
Marcelo Branquinho, CEO da TI Safe, afirma que a IA reduz o tempo e o esforço para descobrir vulnerabilidades e transformá-las em ataques, e que criminosos podem usá-la para adaptar investidas a diferentes ambientes. Ele pondera, porém, que milhares de tentativas não equivalem a milhares de invasões e que, sem evidências de resultados, não se pode dizer que todos os sites varridos serão comprometidos.
A maior preocupação são os sistemas legados, que rodam versões antigas do PHP sem suporte. Branquinho aponta que prefeituras e órgãos com poucos recursos enfrentam aplicações defasadas, falta de equipe e ausência de inventário tecnológico. Para ele, tirar o acesso público do ar, como fizeram Anatel e tribunais, pode ser decisão responsável quando não há como corrigir com rapidez e segurança. Pequenos negócios com WordPress em hospedagem compartilhada devem cobrar do provedor, que administra o PHP, a confirmação da correção; atualizar apenas plugins não resolve.
Quanto à resposta nacional, existe a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), coordenada pelo GSI. A participação é obrigatória na esfera federal, mas estados e municípios dependem de adesão. Esse é o ponto a observar nos próximos dias: a correção dos sistemas mais frágeis e a velocidade com que os serviços voltam ao ar.
Quieres la nota completa?
Lee el original en O GLOBO ↗
General News