Falha em PHP derruba SEI e sistemas do governo nesta quinta-feira

Segurança Digital

Vulnerabilidade crítica em PHP força órgãos públicos a suspenderem sistemas para proteger dados sensíveis.

Leia também: STF tira ISS da base do PIS/Cofins e trava disputa por restituição

Uma falha crítica na linguagem de programação PHP, usada em quase 70% da internet, levou órgãos do governo brasileiro e cortes de Justiça a desligarem sistemas nesta quinta-feira (22) para evitar invasões e roubo de dados, após alertas emergenciais emitidos por estruturas de cibersegurança da União.

Governo desliga SEI e orienta suspensão de sistemas

Como medida preventiva, o acesso externo ao Sistema Eletrônico de Informações (SEI) — principal plataforma de processos administrativos federais — foi tirado do ar para blindar servidores públicos contra tentativas de acesso indevido. A Agência Nacional de Telecomunicações (Anatel) e Tribunais Regionais Federais da 1ª, 4ª e 6ª regiões também retiraram serviços do ar ou restringiram acessos.

O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) e o Gabinete de Segurança Institucional (GSI) enviaram na quarta-feira (21) um alerta emergencial a toda a Administração Pública Federal, recomendando a atualização imediata de ambientes com PHP ou a suspensão temporária de aplicações vulneráveis. O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) reforçou a orientação para desligar qualquer plataforma estatal baseada na linguagem afetada até que a segurança seja atestada.

As autoridades frisam que o desligamento não comprova um ataque em andamento, mas responde ao potencial de dano da falha: ela permite que criminosos saltem etapas de autenticação e alcancem diretamente sistemas de arquivos e bancos de dados, sem necessidade de senha.

O que a vulnerabilidade em PHP permite fazer?

A vulnerabilidade está em componentes centrais do PHP, que funcionam como o “motor” invisível de sites, sistemas administrativos e serviços online. Segundo a Agência de Segurança Nacional dos Estados Unidos, as falhas descobertas “frequentemente oferecem acesso direto ao sistema de arquivos ou ao banco de dados do servidor, o que potencialmente permite que um hacker assuma o controle desses servidores sem sequer precisar digitar uma senha”.

Na prática, isso abre brecha para roubo de dados sensíveis, alteração de informações em processos, indisponibilidade prolongada de serviços e uso dos servidores invadidos como plataforma para novos ataques. No caso do setor público brasileiro, o risco atinge desde documentos administrativos no SEI até sistemas judiciais e regulatórios.

Entenda o contexto

A falha foi identificada por pesquisadores de empresas especializadas em segurança, como Wiz e Calif, que usaram modelos avançados de inteligência artificial apoiados por tecnologias de grandes players do setor para vasculhar o código do PHP. Eles encontraram vulnerabilidades profundas que, segundo os especialistas, passaram despercebidas por mais de uma década.

A descoberta foi mantida em sigilo enquanto desenvolvedores trabalhavam nas correções, numa corrida para fechar a brecha antes que fosse explorada em larga escala. Mesmo assim, equipes de inteligência de ameaças da Amazon já detectaram tentativas preliminares de exploração antes do anúncio público, o que levanta suspeitas de vazamento antecipado de informações técnicas.

No Brasil, a resposta foi coordenada por MGI, CISC e GSI, com avisos em cadeia para que órgãos federais atualizassem seus ambientes ou desligassem serviços até a conclusão de auditorias. Estados e municípios, embora não sejam diretamente comandados por essa estrutura, são afetados indiretamente, já que muitos utilizam tecnologias semelhantes e podem ter sistemas legados em versões antigas de PHP.

Inteligência artificial acelera defesa e ataque

A crise marca um ponto de inflexão na relação entre inteligência artificial e cibersegurança. As mesmas ferramentas que permitiram descobrir a vulnerabilidade podem ser usadas por criminosos para transformar rapidamente o conhecimento técnico em ataques automatizados contra milhares de alvos.

Para Marcelo Branquinho, CEO da empresa brasileira de cibersegurança TI Safe, a IA mudou a dinâmica entre proteção e ofensiva digital. “A inteligência artificial reduz o tempo e o esforço necessários tanto para descobrir vulnerabilidades quanto para transformá-las em ataques. A mesma capacidade pode ser usada por criminosos para adaptar investidas a diferentes ambientes”, afirma.

Branquinho pondera que o aumento das tentativas não significa, automaticamente, mais invasões bem-sucedidas, mas amplia a pressão sobre estruturas de defesa já sobrecarregadas. Ele ressalta que ambientes antigos, com versões desatualizadas de PHP e pouca equipe técnica, como prefeituras pequenas e órgãos com poucos recursos, são alvos particularmente frágeis.

Segundo o especialista, desligar temporariamente sistemas críticos, como fizeram Anatel e os tribunais, é uma estratégia aceitável diante da incerteza. “Retirar temporariamente o acesso público pode ser uma decisão técnica responsável quando não é possível corrigir o ambiente com segurança e rapidez”, diz, avaliando que a medida funciona também como teste de fogo para planos de continuidade de atendimento.

Impacto em serviços públicos no Brasil e no exterior

Além do Brasil, governos de Reino Unido e França adotaram iniciativas semelhantes. No território britânico, dezenas de serviços públicos amanheceram fora do ar e foram religados gradualmente após auditorias de segurança. Na França, sites de administrações locais, incluindo o da Prefeitura de Polícia de Paris, foram derrubados por orientação da agência nacional de cibersegurança, após a detecção da vulnerabilidade.

No curto prazo, os principais efeitos para a população são atrasos em processos administrativos e judiciais, dificuldade de acesso a documentos e instabilidade em portais de órgãos reguladores. Servidores públicos também enfrentam sobrecarga, com readequação de fluxos internos e uso de alternativas manuais ou paralelas enquanto os sistemas passam por correções.

Por outro lado, a situação fortalece equipes de resposta a incidentes e setores de segurança cibernética, que ganham protagonismo na definição de prioridades tecnológicas e orçamentárias. A expectativa de especialistas é que o episódio acelere investimentos em atualização de sistemas, revisão de políticas de backup e criação de rotinas mais rígidas de correção de falhas.

Quais são os próximos passos para usuários e órgãos públicos?

No governo federal, o foco imediato é aplicar as correções liberadas pelos mantenedores do PHP, testar a estabilidade dos sistemas e restabelecer gradualmente o acesso aos serviços derrubados. Auditorias técnicas devem mapear ambientes ainda vulneráveis, especialmente sistemas legados que rodam versões antigas da linguagem.

Empresas privadas, especialmente as que utilizam plataformas baseadas em PHP em hospedagens compartilhadas, dependem dos provedores para corrigir o ambiente. Nesse modelo, cabe ao dono do site cobrar do fornecedor a confirmação de que a linguagem e a infraestrutura subjacente foram atualizadas, já que apenas atualizar plugins e temas não resolve o problema de base.

No médio e longo prazo, especialistas veem tendência de revisão de políticas de segurança tanto no setor público quanto no privado, com maior cobrança por transparência sobre vulnerabilidades e uso mais intenso de inteligência artificial na defesa. Ao mesmo tempo, a facilidade para automatizar ataques deve manter o nível de risco elevado, exigindo monitoramento constante e coordenação entre órgãos de governo, agências reguladoras e empresas de tecnologia.

Fonte: matéria original