Falha grave no PHP leva Anatel e tribunais a suspender sistemas; saiba o que é e como se proteger

BRASÍLIA (DF) — Duas falhas graves de segurança no PHP, uma das tecnologias mais usadas para fazer sites, levaram a Agência Nacional de Telecomunicações (Anatel) e tribunais federais a suspender o acesso a sistemas por precaução nesta semana. As brechas, identificadas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de "PHP2Shell", podem permitir que invasores assumam o controle dos servidores que mantêm os sites no ar, sem precisar de login ou senha, segundo o g1.

A correção foi lançada na quarta-feira (21). De acordo com a agência de segurança cibernética dos Estados Unidos (CISA), as versões corrigidas são a 8.5.12, a 8.4.27, a 8.3.36 e a 8.2.35. A agência afirma que as falhas atingem todas as instalações de PHP que atendem páginas da web e lembra que a versão 8.1 e as anteriores não recebem mais atualizações.

O que é o PHP

O PHP é uma linguagem de programação e também o programa, gratuito e de código aberto, que roda os sites feitos nela. Segundo o g1, ele é usado em serviços como Facebook, Wikipedia e WordPress, no Moodle, de instituições de ensino, e no Magento, de lojas virtuais. "Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites", disse ao g1 Thiago Ayub, diretor de tecnologia da Sage Networks.

Sistemas suspensos no Brasil

A Anatel suspendeu temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI), usado por órgãos públicos para processos administrativos, e a outros serviços na internet. Os Tribunais Regionais Federais da 1ª, da 4ª e da 6ª Região também suspenderam o acesso externo ao SEI. "A medida tem caráter preventivo e visa resguardar a segurança do sistema e a integridade das informações institucionais", afirmou o TRF1, segundo o g1.

O Centro Integrado de Segurança Cibernética do Governo Digital emitiu na quarta-feira (21) um alerta para que órgãos públicos atualizem o PHP imediatamente. O Gabinete de Segurança Institucional (GSI) disse ao g1 que "alertou os gestores de Tecnologia da Informação da Administração Pública Federal para que atualizem imediatamente seus sistemas". Até a publicação da reportagem do g1, especialistas ouvidos pelo site diziam não haver relatos de grandes impactos no Brasil.

Sites fora do ar em outros países

Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, ficaram inacessíveis a partir da tarde de quarta-feira, a pedido da agência nacional de cibersegurança. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) pediu que as organizações corrigissem as falhas imediatamente ou desligassem os sistemas vulneráveis, segundo o g1.

A CISA afirmou que não havia observado ataques até a publicação do seu alerta. Já a empresa de segurança watchTowr disse ter registrado tentativas de exploração no próprio dia 21, e o presidente da Cloudflare disse ao Estadão que a brecha já gerou milhões de tentativas de ataque.

Descoberta com ajuda de inteligência artificial

As falhas foram comunicadas em agosto pela empresa de segurança Calif e pela OpenAI, dona do ChatGPT, que as encontraram de forma independente no mesmo dia. Depois, a Wiz, empresa de segurança em nuvem, informou ter achado outras formas de explorá-las, usando os modelos de inteligência artificial Gemini 4 Argon, do Google, e GPT-5.6 Sol, da OpenAI. "Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas", disse a Wiz.

O que fazer

Igrejas, ministérios, escolas e comércios que têm site, inclusive em WordPress, devem confirmar com quem cuida do site ou com a empresa de hospedagem se o PHP já foi atualizado para uma das versões corrigidas. A CISA recomenda atualizar primeiro os sistemas abertos na internet, tirar do ar os que não puderem ser corrigidos de imediato e acompanhar sinais de invasão no servidor.

O Macaíba Gospel também funciona com PHP. O servidor do portal foi atualizado para a versão 8.3.36, a corrigida, nesta quinta-feira (22).

Com informações do g1, da CISA, da watchTowr e do Estadão.