Uma falha de segurança na linguagem de programação PHP levou tribunais e órgãos públicos brasileiros a suspender o acesso a sistemas digitais nesta semana. A medida começou na quarta-feira (21), depois da identificação de duas vulnerabilidades que poderiam permitir a invasão de servidores e o acesso indevido a informações.
Entre os serviços afetados estão plataformas da Agência Nacional de Telecomunicações (Anatel) e de tribunais regionais federais. Em Minas Gerais, a Justiça Federal chegou a suspender o expediente e os prazos processuais. Parte dos serviços já foi restabelecida, mas outros órgãos ainda trabalham para concluir as atualizações de segurança.
Não há confirmação de invasões aos sistemas públicos brasileiros afetados. As suspensões foram adotadas preventivamente, após alertas sobre a possibilidade de ataques.
O que provocou a falha de segurança?
O problema está no PHP, uma das linguagens de programação mais utilizadas no desenvolvimento de sites e plataformas digitais.
Duas vulnerabilidades, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, receberam classificação de gravidade 9,2 em uma escala de zero a dez.
As falhas podem permitir que criminosos executem comandos em servidores vulneráveis sem precisar de login ou senha. Dependendo das permissões disponíveis, isso abre caminho para roubo de dados, alterações em páginas e instalação de programas maliciosos.
A descoberta ocorreu com auxílio de Inteligência Artificial e provocou uma corrida internacional para corrigir os sistemas. Segundo reportagem da Folha de S.Paulo, governos e empresas de diferentes países retiraram serviços do ar enquanto avaliavam a exposição de seus servidores.
A Fundação PHP já disponibilizou versões corrigidas da linguagem. A proteção, porém, depende da instalação das atualizações pelos responsáveis por cada sistema.
Quais serviços foram afetados no Brasil?
O Sistema Eletrônico de Informações (SEI), utilizado para administrar processos e documentos digitais, está entre as principais plataformas atingidas pelas restrições.
O Tribunal Regional Federal da 1ª Região (TRF1) suspendeu o acesso externo ao sistema na quarta-feira (21), seguindo uma recomendação do Tribunal Regional Federal da 4ª Região (TRF4).
Em comunicado oficial, o TRF1 informou que a decisão busca proteger os dados institucionais enquanto as vulnerabilidades são avaliadas e corrigidas. O órgão não apresentou previsão de normalização.
No Sul do país, a Justiça Federal da 4ª Região também interrompeu temporariamente o acesso externo a sistemas digitais. Os serviços internos continuaram funcionando.
Em Minas Gerais, o Tribunal Regional Federal da 6ª Região (TRF6) suspendeu o expediente e os prazos processuais na quarta-feira após instabilidades no eproc, plataforma usada para tramitação de processos judiciais.
A paralisação também envolveu serviços administrativos e páginas institucionais. Segundo informações divulgadas nesta quinta-feira (22), as atividades foram retomadas após a adoção de medidas de segurança.
Outros órgãos também registraram restrições:
- Agência Nacional de Mineração (ANM): suspendeu o Protocolo Digital, o REPEM e o SEI.
- Superintendência de Seguros Privados (Susep): informou a indisponibilidade temporária do SEI.
- Universidade Federal de Campina Grande (UFCG): restringiu o acesso externo a plataformas administrativas, educacionais e de atendimento técnico.
Anatel conseguiu restabelecer acesso
A Anatel retirou seu SEI do ar na quarta-feira (21), às 12h15, para realizar correções de segurança.
Segundo informações prestadas pela agência à CNN Brasil, o sistema voltou a funcionar às 22h05 do mesmo dia, após a atualização necessária.
A agência esclareceu que a vulnerabilidade não estava necessariamente no SEI, mas na tecnologia utilizada para executar a plataforma.
A interrupção afetou atividades administrativas, como o envio de documentos e o acompanhamento de processos. Não houve indicação de comprometimento das redes de telefonia ou dos serviços de internet oferecidos à população.
O que acontece com documentos e prazos?
A indisponibilidade pode afetar pessoas que precisam apresentar documentos, consultar processos ou cumprir exigências administrativas.
As consequências variam conforme o órgão responsável.
Na ANM, por exemplo, os prazos que vencerem durante a interrupção dos sistemas serão prorrogados automaticamente para o primeiro dia útil após a solução do problema, conforme as regras divulgadas pela agência.
O órgão também alertou os usuários para não acessarem endereços alternativos recebidos por mensagens ou links não oficiais.
Já a Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP) informou que mantém o recebimento de documentos pelos Correios e presencialmente em seus escritórios enquanto o acesso externo ao SEI estiver suspenso.
Quem precisa utilizar essas plataformas deve consultar os comunicados do órgão responsável antes de tentar enviar documentos ou cumprir prazos.
Atualizações devem proteger os servidores
O Governo Federal recomendou que os órgãos identifiquem os sistemas que utilizam PHP e instalem imediatamente as versões corrigidas.
Nos casos em que a atualização não puder ser concluída com segurança, a orientação é restringir temporariamente os acessos externos.
As medidas não significam que todos os sites desenvolvidos com PHP tenham sido invadidos. A exposição depende das versões utilizadas e das condições de cada servidor.
Para usuários comuns, não há necessidade de modificar configurações do celular ou do computador por causa dessas falhas. A principal precaução é utilizar apenas endereços oficiais e desconfiar de mensagens que ofereçam acessos alternativos a serviços temporariamente indisponíveis.
