A vulnerabilidade global na linguagem de programação PHP, identificada como PHP2Shell, levou à suspensão preventiva de sites e plataformas digitais em diversos países na quarta-feira (21). No Brasil, a falha motivou a retirada temporária do ar do Sistema Eletrônico de Informações (SEI), usado para produzir e administrar processos e documentos eletrônicos no governo federal, na Agência Nacional de Telecomunicações (Anatel) e em Tribunais Regionais Federais (TRFs).
O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) emitiu um alerta às unidades de tecnologia da administração pública federal recomendando o bloqueio temporário do acesso externo aos sistemas criados na linguagem até a instalação dos pacotes de correção. "Essa situação foi prontamente comunicada a todas as unidades de tecnologia do governo federal para retirar temporariamente do ar todos os sistemas desenvolvidos em PHP". O número total exato de órgãos e ministérios brasileiros que tiraram páginas do ar em decorrência do alerta não foi divulgado pela pasta.
Como a falha PHP2Shell funcionava e o papel da inteligência artificial
A brecha de segurança tinha potencial para permitir que invasores controlassem servidores vulneráveis sem a necessidade de login ou senha, além de possibilitar a leitura de dados confidenciais e credenciais armazenadas diretamente na memória desses sistemas. O código PHP está presente em uma proporção aproximada de 70% dos sites da internet, o que inclui ferramentas de gerenciamento de páginas como o WordPress. Uma empresa de computação em nuvem chegou a registrar milhões de tentativas de invasão que exploravam especificamente essa falha antes da contenção.
Saiba mais: PHP recebe atualização emergencial contra falhas graves de segurança
A localização do problema contou com o auxílio de ferramentas de inteligência artificial operadas por equipes da OpenAI e das empresas de segurança cibernética Wiz e Calif, que identificaram brechas que permaneciam ocultas no código-fonte da linguagem havia mais de uma década. Após a descoberta, a Fundação PHP disponibilizou uma atualização de emergência em 21 de outubro de 2026 e orientou administradores de redes em todo o mundo a aplicarem o reparo imediatamente para bloquear o acesso não autorizado.
Impacto do alerta sobre o PHP nos órgãos públicos brasileiros
Para reduzir os riscos de exposição durante a aplicação dos reparos recomendados internacionalmente, diferentes esferas da administração pública brasileira interromperam o funcionamento de portais e ferramentas de tramitação processual. Na Anatel, o SEI ficou fora do ar das 12h15 às 22h05 de quarta-feira (21), no horário de Brasília, período em que os técnicos atualizaram o sistema sem registrar qualquer invasão, retomando a operação normal logo em seguida. Os Tribunais Regionais Federais também paralisaram temporariamente suas páginas para executar as atualizações urgentes de segurança.
Veja também: OpenAI enfrenta processo após 700 agentes de inteligência artificial invadirem a Hugging Face
Durante a indisponibilidade do SEI nos órgãos federais, o Ministério da Gestão orientou que demandas urgentes relacionadas ao envio de documentos administrativos fossem encaminhadas por e-mail ou por meio da plataforma GOV.BR, que não utiliza a estrutura afetada e permaneceu em funcionamento normal. Em julho de 2024, o Sistema Eletrônico de Informações do governo federal já havia sido alvo de uma investigação da Polícia Federal após a suspeita de um ataque hacker que atingiu ao menos nove ministérios.
Países e empresas afetados pela vulnerabilidade no PHP
Autoridades dos Estados Unidos e da Europa recomendaram que empresas privadas e órgãos públicos adotassem medidas imediatas de correção, o que gerou paralisações preventivas em governos e grandes corporações internacionais. No Reino Unido, a ministra Elizabeth Lloyd declarou na Câmara dos Lordes, a câmara alta do Parlamento britânico, que dezenas de serviços oficiais saíram do ar para manutenção, enquanto no Japão a primeira-ministra Sanae Takaichi orientou companhias locais a considerarem a suspensão de operações para mitigar riscos, e na Holanda o primeiro-ministro Rob Jetten informou que seu gabinete monitorava o caso.
- Reino Unido: quase 30 serviços governamentais ficaram totalmente indisponíveis durante as atualizações e outros 4 tiveram funcionamento parcial.
- União Europeia: páginas governamentais da França, Dinamarca, Finlândia e Holanda foram desativadas temporariamente, incluindo o portal da agência holandesa de segurança cibernética.
- Irlanda: o site de notícias The Journal, apontado como o segundo mais acessado do país, saiu do ar preventivamente.
- Japão: a companhia aérea ANA, a operadora ferroviária JR West e o banco MUFG registraram interrupções temporárias em páginas e serviços digitais.
O alcance comercial do incidente foi analisado por Nigel Green, diretor-executivo (CEO) da consultoria financeira deVere Group, segundo o qual a presença da linguagem em grande parte da rede amplia a exposição de plataformas que armazenam dados de pagamento. Entre os serviços digitais que costumam utilizar esse tipo de código estão aplicativos de entrega, sites de venda de ingressos, marketplaces, plataformas de reservas, serviços de assinatura e portais de atendimento público. No Brasil, as equipes de segurança cibernética do Ministério da Gestão seguem avaliando os efeitos das correções aplicadas e acompanhando a atualização dos demais sistemas federais.
