Duas falhas críticas de segurança no PHP, linguagem usada por boa parte dos sites de governo no mundo, já tiraram sistemas públicos do ar no Brasil. O Gabinete de Segurança Institucional (GSI) emitiu nesta quarta-feira (21) um alerta urgente a todos os órgãos federais.

O Sistema Eletrônico de Informações (SEI), usado por diversos órgãos públicos, ficou fora do ar entre 12h15 e 22h05 desta quinta (22). Sites do Tribunal de Justiça de Rondônia (TJRO), do governo do estado e da Prefeitura de Porto Velho também saíram do ar.

Sistemas da Anatel foram suspensos por precaução.

O que diz o alerta do governo

O Alerta 93/2026 do GSI classifica as duas falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, como críticas. Elas permitem que um atacante não precise sequer estar autenticado para executar comandos remotos nos servidores.

Segundo o documento, órgãos que usam versões do PHP anteriores a 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 devem atualizar os sistemas imediatamente. Se isso não for possível, a recomendação é restringir o acesso externo às aplicações afetadas.

O GSI cita o Decreto 10.748/2021, que obriga os órgãos da administração federal a sanar vulnerabilidades cibernéticas com urgência.

Quem achou a falha, e por que o risco é real

A vulnerabilidade, batizada de PHP2Shell pela empresa de segurança Wiz, foi descoberta por duas frentes independentes: o pesquisador Ryan Austin, da empresa Calif, e a própria Wiz, do grupo Google Cloud.

Publicidade

Austin usou um modelo de inteligência artificial da OpenAI dentro do projeto Patch the Planet. O anúncio público saiu em 20 de outubro.

Não é um risco só teórico. A empresa de segurança watchTowr já registrou tentativas de exploração ativa da falha, o que significa que criminosos já tentam invadir servidores desprotegidos enquanto os órgãos correm para atualizar seus sistemas.

O problema não é exclusivo do Brasil: sites de governo saíram do ar também na Europa, incluindo DigiD e MijnOverheid, serviços digitais do governo holandês, e no Canadá.

O episódio contrasta com o discurso recente do próprio GSI, que neste ano classificou o país como forte em cibersegurança.

O que acontece agora

Os órgãos afetados seguem aplicando as correções recomendadas pelo GSI.

Não há, nas informações oficiais disponíveis até a publicação desta matéria, um prazo final definido para que todos os sistemas federais estejam atualizados, mas o decreto que rege a resposta a incidentes cibernéticos trata a correção como urgente.