Uma vulnerabilidade de segurança na linguagem de programação PHP provocou a interrupção de acesso a diversos sistemas digitais de tribunais e órgãos públicos brasileiros nesta semana. A medida preventiva começou na quarta‑feira, 21 de outubro, após a identificação de duas falhas que poderiam permitir a invasão de servidores e o acesso indevido a informações sensíveis. As suspensões foram adotadas para proteger dados institucionais enquanto as correções eram avaliadas.
As falhas, catalogadas pelos códigos CVE‑2026‑109618 e CVE‑2026‑109619, receberam nota 9,2 em escala de gravidade de zero a dez. Elas permitem que agentes maliciosos executem comandos em servidores vulneráveis sem necessidade de login ou senha, possibilitando roubo de dados, alterações em páginas e instalação de softwares nocivos. A gravidade elevada motivou uma corrida internacional para aplicar as correções.
A descoberta das vulnerabilidades contou com o auxílio de Inteligência Artificial, segundo reportagem da Folha de S.Paulo. Em resposta, governos e empresas de diferentes países retiraram serviços do ar enquanto avaliavam a exposição de seus servidores. A Fundação PHP já disponibilizou versões corrigidas da linguagem, mas a proteção efetiva depende da instalação das atualizações pelos responsáveis de cada sistema.
No Brasil, o Sistema Eletrônico de Informações (SEI) foi um dos principais alvos. O Tribunal Regional Federal da 1ª Região (TRF1) suspendeu o acesso externo ao SEI na quarta‑feira, seguindo recomendação do TRF4, e não informou prazo para normalização. O TRF4 manteve apenas os serviços internos em funcionamento, enquanto a Justiça Federal da 4ª Região interrompeu temporariamente o acesso externo a suas plataformas digitais.
Em Minas Gerais, o Tribunal Regional Federal da 6ª Região (TRF6) suspendeu o expediente e os prazos processuais após instabilidades no eproc, plataforma de tramitação judicial. A paralisação também afetou serviços administrativos e páginas institucionais, mas as atividades foram retomadas na quinta‑feira, 22, após a adoção de medidas de segurança.
Outros órgãos registraram restrições semelhantes: a Agência Nacional de Mineração (ANM) suspendeu o Protocolo Digital, o REPEM e o SEI; a Superintendência de Seguros Privados (Susep) informou indisponibilidade temporária do SEI; e a Universidade Federal de Campina Grande (UFCG) limitou o acesso externo a plataformas administrativas, educacionais e de atendimento técnico.
A Anatel retirou seu SEI do ar às 12h15 da quarta‑feira para aplicar correções de segurança e o restabeleceu às 22h05 do mesmo dia, conforme informações prestadas à CNN Brasil. A agência esclareceu que a vulnerabilidade não estava no SEI em si, mas na tecnologia utilizada para executar a plataforma, e que não houve impacto nas redes de telefonia ou nos serviços de internet ao público.
A indisponibilidade dos sistemas pode prejudicar usuários que precisam apresentar documentos, consultar processos ou cumprir exigências administrativas. Na ANM, os prazos que vencerem durante a interrupção serão prorrogados automaticamente para o primeiro dia útil após a solução, e a agência alertou contra o acesso a endereços alternativos enviados por mensagens ou links não oficiais. A Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP) manteve o recebimento de documentos pelos Correios e presencialmente nos escritórios enquanto o SEI permanecia indisponível.
O Governo Federal recomendou que todos os órgãos identifiquem os sistemas que utilizam PHP e instalem imediatamente as versões corrigidas. Quando a atualização não puder ser concluída com segurança, a orientação é restringir temporariamente os acessos externos. As medidas não implicam que todos os sites desenvolvidos com PHP tenham sido invadidos; a exposição depende da versão empregada e das condições de cada servidor.
Para o usuário comum, não há necessidade de alterar configurações de celular ou computador. A principal precaução consiste em acessar apenas endereços oficiais e desconfiar de mensagens que ofereçam acessos alternativos a serviços temporariamente indisponíveis.
