A Agência Nacional de Telecomunicações (Anatel) e os Tribunais Regionais Federais da 1ª, 4ª e 6ª Região (TRF1, TRF4 e TRF6) suspenderam preventivamente o acesso externo ao Sistema Eletrônico de Informações (SEI) entre quarta-feira (21) e quinta-feira, 22 de outubro de 2026, após a identificação de duas falhas críticas na linguagem de programação PHP. As vulnerabilidades permitem que invasores executem comandos de forma remota e assumam o controle de servidores sem precisar de login ou senha.
O bloqueio ocorreu depois que o Centro Integrado de Segurança Cibernética do Governo Digital (CISC), o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) e o Gabinete de Segurança Institucional da Presidência da República (GSI) emitiram alertas na quarta-feira (21) recomendando a atualização imediata dos softwares nos órgãos públicos. “Essa situação foi prontamente comunicada a todas as unidades de tecnologia do governo federal para retirar temporariamente do ar todos os sistemas desenvolvidos em PHP”, afirmou o Ministério da Gestão e da Inovação em Serviços Públicos (MGI).
Órgãos públicos afetados pelas falhas no PHP e situação do SEI
O Sistema Eletrônico de Informações (SEI), plataforma digital usada pela administração pública para criar, organizar e tramitar processos e documentos administrativos, teve o acesso externo interrompido em diferentes esferas. Na Anatel, que também havia restringido outros serviços na internet para avaliações técnicas, o SEI já voltou a operar normalmente ao longo desta quinta-feira (22). Outras instituições federais e estaduais, porém, mantiveram restrições preventivas enquanto aplicam as correções disponibilizadas para o software.
No Poder Judiciário, o impacto atingiu diretamente o andamento de processos e o atendimento a advogados e partes, já que tanto o SEI quanto o sistema de processo judicial eletrônico (eproc), desenvolvido pelo TRF4 e adotado por cerca de 20 tribunais brasileiros, utilizam a linguagem PHP em sua estrutura. “A medida tem caráter preventivo e visa resguardar a segurança do sistema e a integridade das informações institucionais”, declarou o TRF1, acrescentando que não havia previsão imediata para o restabelecimento do acesso externo.
Leia também: Jovi Y600 Pro 5G é homologado na Anatel com 9.800 mAh e 44 W
As paralisações e restrições preventivas confirmadas entre quarta-feira (21) e quinta-feira (22) atingiram as seguintes instituições e serviços:
Veja também: Relatório da Anatel aponta vácuo em regras para agentes de IA
- Justiça Federal da 4ª Região (TRF4, que abrange Paraná, Santa Catarina e Rio Grande do Sul): interrompeu o acesso externo aos sistemas digitais a partir das 11h de quarta-feira (21);
- Tribunal Regional Federal da 6ª Região (TRF6): suspendeu o acesso ao SEI e ao eproc, além de interromper o expediente e os prazos processuais na Justiça Federal de Minas Gerais;
- Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP) e Governo do Estado do Rio de Janeiro: restringiram preventivamente o acesso externo ao SEI;
- Universidades federais: a Universidade Federal Fluminense (UFF) manteve restrição externa ao SEI e ao Sistema Integrado de Patrimônio, Administração e Contratos (SIP) nesta quinta-feira (22), medida de bloqueio ao SEI também adotada pelas universidades federais do Maranhão (UFMA) e de Lavras (UFLA).
Como a inteligência artificial descobriu as brechas no PHP?
As duas vulnerabilidades críticas foram reportadas inicialmente em agosto de 2026, no mesmo dia e de forma independente, pela empresa de segurança Calif e pela OpenAI, criadora do ChatGPT. Posteriormente, a empresa de segurança em nuvem Wiz identificou novos métodos para explorar as mesmas falhas utilizando dois modelos de inteligência artificial: o Gemini 4 Argon, desenvolvido pelo Google, e o GPT-5.6 Sol, da OpenAI.
Veja também: Atualização de emergência do PHP corrige falhas graves e evita invasão de servidores na internet
De acordo com a Wiz, a complexidade técnica impediu que o problema fosse detectado antes por revisões convencionais. “Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou a empresa na quarta-feira (21). “Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”, completou a companhia.
Alcance do PHP em 70% da internet e alertas nos EUA e na França
O PHP é uma linguagem de programação gratuita e de código aberto — tecnologia cujo código-fonte é público e pode ser usado e modificado livremente — que interpreta e executa comandos para manter páginas em funcionamento na internet. Além dos sistemas públicos brasileiros SEI e eproc, a linguagem está presente em plataformas globais como Facebook, Wikipedia, WordPress, o ambiente educacional Moodle e o sistema de comércio eletrônico Magento.
O diretor de tecnologia da Sage Networks e especialista em telecomunicações, Thiago Ayub, explicou a dimensão do risco para páginas que demorarem a instalar o pacote de correção já disponível. “Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, disse Ayub.
Fora do Brasil, a descoberta também provocou desligamentos preventivos na quarta-feira (21). Nos Estados Unidos, a Agência de Segurança Nacional (NSA, órgão oficial de inteligência e segurança cibernética do governo norte-americano) determinou que as organizações corrigissem as brechas imediatamente ou desligassem os sistemas vulneráveis. Na França, páginas de administrações locais, incluindo o portal da Prefeitura de Polícia de Paris, saíram do ar durante a tarde por solicitação da Agência Nacional de Cibersegurança francesa, após o Ministério do Interior registrar a detecção da falha crítica.
Investigação no Tocantins e consulta ao TSE sobre sistemas em PHP
Antes do alerta geral do governo federal, na terça-feira (20), o Tribunal de Justiça do Tocantins (TJTO) já havia publicado o Decreto Judiciário nº 772, suspendendo o acesso externo aos seus sistemas após detectar atividade atípica com indícios de incidente cibernético. Ainda não há confirmação oficial se o episódio no TJTO tem relação direta com as duas falhas no PHP, e o Tribunal Superior Eleitoral (TSE) também não havia respondido até a publicação desta reportagem se as vulnerabilidades afetam seus sistemas ou as eleições de 2026.
No caso do Tribunal de Justiça do Tocantins, a suspensão do acesso externo e dos prazos processuais segue em vigor até sexta-feira (23).
