Falhas críticas no PHP levam Anatel a suspender acesso externo ao SEI

Duas falhas críticas de segurança no PHP, tecnologia usada por milhões de sites, levaram a Agência Nacional de Telecomunicações (Anatel) a suspender preventivamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outros serviços. As vulnerabilidades permitem, em determinadas condições, que invasores executem comandos em servidores sem precisar de login ou senha. Tentativas de exploração já foram identificadas, enquanto governos e empresas adotam medidas de emergência.

As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam classificação de gravidade 9,2 em uma escala de até 10. O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) publicou um alerta em 21 de outubro. Na mesma data, os responsáveis pelo PHP lançaram atualizações emergenciais para corrigir os problemas.

A Anatel restringiu o acesso externo ao SEI e a outros sistemas durante as avaliações técnicas. A plataforma é utilizada por órgãos públicos para produzir, organizar e acompanhar documentos e processos administrativos digitais. Tribunais também suspenderam preventivamente o uso do sistema. As interrupções não significam, por si só, que esses órgãos tenham sido invadidos ou que o SEI tenha sido comprovadamente comprometido pelas falhas.

Falhas atingem o núcleo do PHP e podem expor senhas e dados

O problema está no próprio funcionamento do PHP, não necessariamente em uma falha de programação dos sites que o utilizam. Isso significa que aplicações bem desenvolvidas podem continuar vulneráveis caso estejam instaladas sobre uma versão não corrigida da linguagem. Plataformas como WordPress, Drupal, Joomla e sistemas baseados em MediaWiki integram esse ecossistema.

Uma das vulnerabilidades, a CVE-2026-109618, envolve corrupção de memória durante situações de esgotamento de recursos. A outra, CVE-2026-109619, está relacionada à permanência de informações internas inválidas entre requisições atendidas pelo mesmo processo. Ambas podem abrir caminhos para execução remota de código. Pesquisadores também demonstraram a possibilidade de acessar informações sensíveis mantidas na memória dos servidores, incluindo senhas, tokens de autenticação e chaves de acesso.

O risco é especialmente elevado em servidores Apache que executam PHP por meio do módulo mod_php. Nessa configuração, foi demonstrado um ataque capaz de explorar a falha antes mesmo de o código da aplicação começar a funcionar. Outras formas de execução, como PHP-FPM, php-cgi, FrankenPHP e LiteSpeed, também estão dentro do alcance do alerta, embora os caminhos de exploração e suas condições variem.

Segundo os pesquisadores responsáveis pelo projeto PHP2Shell, aproximadamente 70% dos sites utilizam PHP. Esse número dimensiona a presença da tecnologia na internet, mas não significa que 70% dos sites tenham sido invadidos ou estejam necessariamente executando versões vulneráveis.

Anatel, órgãos franceses e serviços de outros países adotam restrições

Além das medidas brasileiras, a França registrou a indisponibilidade preventiva de páginas de administrações locais, incluindo a Prefeitura de Polícia de Paris, na quarta-feira (21). A restrição ocorreu por orientação da autoridade francesa de segurança cibernética, após a identificação da vulnerabilidade crítica. O Ministério do Interior confirmou a adoção da medida de precaução.

Nos Países Baixos, serviços digitais do governo, sistemas de identificação eletrônica, o site da Câmara Baixa do Parlamento e plataformas educacionais também saíram do ar preventivamente, conforme as informações divulgadas sobre o episódio. A empresa BambooHR interrompeu serviços nos Estados Unidos, no Canadá e na Irlanda e alertou para possíveis impactos em operações de folha de pagamento.

As suspensões buscam impedir a exposição dos sistemas enquanto as equipes responsáveis verificam as versões instaladas e aplicam as correções. Não há, nas informações examinadas até esta quinta-feira (22), comprovação de que essas interrupções tenham sido provocadas por invasões bem-sucedidas.

Tentativas de ataque já foram observadas, mas invasões não foram confirmadas

A Cloudflare relatou movimentação de atacantes tentando explorar as vulnerabilidades e informou ter ativado regras de proteção para seus clientes antes da publicação das correções. A empresa de segurança watchTowr também registrou tentativas ativas de exploração das duas falhas em 21 de outubro. Até as atualizações consultadas, porém, não havia confirmação pública de comprometimento bem-sucedido de um servidor específico associado a esses ataques.

As vulnerabilidades foram identificadas por equipes de pesquisa da Wiz, da Calif e da OpenAI, que colaboraram com a comunidade de segurança do PHP. Ferramentas de inteligência artificial contribuíram para a identificação e a demonstração de formas de ataque contra problemas existentes no código havia mais de uma década.

A PHP Foundation reconheceu que os primeiros sinais de uma das falhas haviam surgido em uma auditoria realizada em 2024, mas que a correção não avançou diante das dificuldades técnicas e das limitações da equipe. A entidade classificou a demora como uma falha estrutural de seu processo de decisão. Em outubro de 2026, a divulgação antecipada de informações sobre as vulnerabilidades fez o projeto antecipar para o dia 21 o lançamento das atualizações, inicialmente previsto para 22 de outubro.

Quais versões do PHP precisam ser atualizadas

O comunicado oficial do PHP recomenda atualização imediata. As primeiras versões corrigidas, divulgadas em 21 de outubro, são as seguintes:

As versões 8.1 e anteriores já não recebem atualizações regulares de segurança do projeto PHP. Para algumas versões antigas, foram disponibilizadas correções de código destinadas a mantenedores e fornecedores. O PHP 8.2, por sua vez, chega ao fim do suporte em 31 de dezembro de 2026. Em distribuições Linux com manutenção de longo prazo, a correção pode ser incorporada a pacotes que conservam uma numeração mais antiga; nesses casos, é necessário verificar a documentação do fornecedor.

Atualizar o WordPress não basta para eliminar o risco

A correção precisa ser instalada no PHP utilizado pelo servidor. Atualizar apenas o WordPress, seus plugins, o tema visual ou outra aplicação hospedada não substitui a atualização da linguagem de programação. A operação deve ser realizada pelo administrador do servidor ou pela empresa responsável pela hospedagem, com a reinicialização dos processos afetados após a instalação dos pacotes corrigidos.

Quando a atualização imediata não for possível, a orientação é reduzir a exposição de aplicações vulneráveis, inclusive com restrição temporária do acesso público. O comunicado do PHP também apresenta ajustes de configuração capazes de dificultar determinadas formas de exploração, mas ressalta que nenhuma dessas medidas oferece proteção completa sem a instalação da correção.

Equipes de segurança também devem examinar registros de requisições incomuns, erros repetidos de servidor e reinicializações inesperadas dos processos PHP, especialmente quando houver suspeita de tentativas de exploração anteriores à atualização. A recomendação central permanece a mesma: identificar os ambientes afetados, aplicar as versões corrigidas e confirmar que os servidores passaram a executá-las.