Falhas no PHP: entenda o que tirou sites do ar no Brasil e no mundo por riscos de segurança

Duas falhas graves na linguagem de programação PHP, usada em quase 70% dos sites cuja tecnologia foi identificada, levaram governos e empresas a suspender preventivamente serviços digitais nesta semana, enquanto trabalhavam para corrigir os sistemas e reduzir o risco de ataques cibernéticos. No Brasil, a Agência Nacional de Telecomunicações (Anatel) e órgãos da Justiça Federal restringiram temporariamente o acesso a sistemas digitais, incluindo o Sistema Eletrônico de Informações (SEI), usado para administrar documentos e processos. As falhas foram descobertas com auxílio de inteligência artificial e permitem que invasores executem códigos remotamente nos servidores afetados, sem precisar de login ou senha.

Em um ataque bem-sucedido, criminosos podem assumir o controle dos sistemas, roubar informações, alterar páginas ou instalar programas maliciosos. Leia também Negócios Brisanet fecha parceria com americana para conectar celulares via satélite no Brasil Negócios Saques a 50 lojas e prejuízo de US$ 12 milhões. Carrefour cobra proteção após protestos na França A dimensão do risco é ampla.

Há mais de 22 milhões de servidores, bancos de dados e aplicações expostos à internet que utilizam PHP, segundo pesquisadores da empresa de cibersegurança Palo Alto Networks. Mais de um terço dos sistemas vulneráveis identificados nesse universo utiliza softwares antigos que não podem ser corrigidos com facilidade. As falhas receberam nota 9,2 em uma escala de dez pontos usada para medir a gravidade de vulnerabilidades digitais.

Embora ainda não esteja claro quantas tentativas de exploração resultaram em invasões, empresas de segurança identificaram uma rápida escalada de ataques após a divulgação pública do problema. O que aconteceu? As duas vulnerabilidades, identificadas pelos códigos CVE-2026-109618 e CVE-2026-109619, existiam havia mais de uma década sem serem detectadas.

Pesquisadores da Wiz, empresa de cibersegurança controlada pela Alphabet, da OpenAI , e da empresa Calif trabalharam na identificação das falhas e na busca por correções com auxílio de ferramentas de inteligência artificial. Segundo pesquisadores da Wiz, um único profissional conseguiu concluir em uma semana um trabalho que anteriormente exigiria meses de uma equipe altamente especializada. Leia também Negócios Novo modelo de IA da Anthropic multiplica por 10 riscos de cibersegurança, diz CEO do JPMorgan Negócios Nas grandes empresas, cibersegurança já não basta.

O foco é perder menos após ataques O caso ilustra como ferramentas de inteligência artificial podem ajudar especialistas a encontrar falhas em softwares amplamente utilizados, inclusive problemas que passaram anos sem ser identificados. O PHP é uma linguagem de programação de código aberto usada para desenvolver sites e aplicações. Ela permite, por exemplo, que uma página consulte bancos de dados, processe formulários e exiba informações personalizadas para cada usuário.

A tecnologia está presente em plataformas como WordPress, Drupal, Joomla, Magento e PrestaShop. Por isso, uma falha no próprio PHP pode afetar serviços de diferentes empresas e setores, mesmo quando eles foram desenvolvidos separadamente. As vulnerabilidades permitem a chamada execução remota de código sem autenticação.

Na prática, um invasor pode enviar uma requisição especialmente preparada a um servidor vulnerável e executar comandos sem precisar entrar em uma conta. Dependendo das permissões disponíveis no sistema, isso pode abrir caminho para o controle do servidor e para outras ações maliciosas. Os responsáveis pela manutenção do PHP divulgaram atualizações corretivas em 21 de outubro e recomendaram que os usuários instalassem as versões protegidas imediatamente.

Até que as correções fossem aplicadas, restringir o acesso externo aos sistemas vulneráveis era uma das formas de reduzir a exposição a ataques. Governos e empresas começaram a suspender preventivamente serviços digitais na quarta-feira (21), enquanto trabalhavam para corrigir as falhas. Medidas foram adotadas em países como Áustria, Holanda, Finlândia, França, Dinamarca, Austrália, Canadá, Alemanha, Japão e Bélgica.

No Reino Unido, mais de 30 serviços governamentais continuavam indisponíveis na quinta-feira (22), enquanto as atualizações de segurança eram instaladas. No Japão, bancos e companhias aéreas também suspenderam serviços. Quais são os riscos?

O principal risco é que criminosos consigam explorar as falhas antes que as organizações atualizem seus sistemas. Um servidor comprometido pode expor informações, permitir alterações em páginas e facilitar a instalação de programas maliciosos. Também existe a possibilidade de os invasores criarem portas de acesso ocultas, conhecidas como backdoors , para voltar ao sistema posteriormente, mesmo depois de uma primeira tentativa de invasão.

O alerta não é apenas teórico. Matthew Prince, presidente-executivo da Cloudflare, empresa que fornece infraestrutura e serviços de segurança para sites, afirmou que a companhia identificou milhares de tentativas de exploração cerca de dez horas antes da divulgação pública das falhas. Duas horas depois do anúncio, as tentativas já estavam na casa das centenas de milhares e, posteriormente, chegaram aos milhões.

“Estamos vendo milhões de tentativas de ataque que exploram essa falha em toda a nossa rede, a cada minuto de cada dia”, afirmou Prince em entrevista à Bloomberg TV na quinta-feira (22). A quantidade de tentativas, porém, não revela quantos ataques tiveram sucesso. Até o momento, não havia clareza sobre o número de organizações efetivamente invadidas por meio dessas vulnerabilidades.

A Amazon também informou ter identificado tentativas de exploração nos dias anteriores à divulgação pública. Segundo a empresa, um agente de ameaça desconhecido obteve informações sobre as falhas e tentou utilizá-las antes que os detalhes fossem publicados. Outro problema é a existência de softwares antigos que não recebem atualizações compatíveis.

Segundo a Palo Alto Networks, mais de um terço dos sistemas vulneráveis e expostos à internet identificados pela empresa utiliza programas legados que não podem ser corrigidos com facilidade. A atualização ou substituição dessas estruturas pode levar meses. Essa dificuldade pode prolongar a exposição de sites menores, especialmente quando eles dependem de serviços de hospedagem compartilhada.

Seus responsáveis nem sempre administram diretamente os servidores ou sabem qual tecnologia está sendo utilizada. Mesmo depois da divulgação de uma falha e da liberação de uma correção, esses sites podem continuar vulneráveis até que o provedor de hospedagem ou o administrador do sistema tome providências. A descoberta das falhas com ajuda de inteligência artificial também chama a atenção para uma mudança na área de segurança digital.

As mesmas ferramentas que ajudam pesquisadores a encontrar problemas em códigos podem ser utilizadas por criminosos para localizar vulnerabilidades e desenvolver formas de explorá-las. Isso aumenta a importância de corrigir os sistemas rapidamente, embora a descoberta de mais falhas, por si só, não signifique que todas serão exploradas com sucesso. Como o problema afetou o Brasil?

No Brasil, órgãos públicos adotaram medidas preventivas diante do alerta internacional. A Anatel retirou temporariamente do ar o Sistema Eletrônico de Informações, utilizado para produzir, tramitar e administrar documentos e processos administrativos. O sistema ficou indisponível em 21 de outubro, das 12h15 às 22h05.

A agência também adotou medidas de segurança em seus sistemas digitais. A interrupção foi preventiva: não há confirmação pública de que o SEI da Anatel tenha sido invadido por meio dessas vulnerabilidades. Outros órgãos da Justiça Federal também restringiram o acesso a sistemas digitais.

As medidas buscaram reduzir a exposição a ataques enquanto as equipes técnicas verificavam as versões utilizadas e aplicavam as correções necessárias. O governo federal orientou os órgãos públicos a identificar sistemas vulneráveis, atualizar o PHP e, quando isso não fosse possível imediatamente, restringir temporariamente o acesso externo. A recomendação também envolveu a verificação de eventuais sinais de comprometimento antes da retomada dos serviços.

BR continuou funcionando normalmente. BR e enviados por e-mail. *Com agências internacionais.

]]>