Duas falhas críticas na linguagem de programação PHP provocaram uma mobilização internacional de segurança digital. No Brasil, a Anatel e tribunais federais suspenderam temporariamente o acesso a sistemas como medida preventiva, enquanto o governo orientou a atualização urgente dos servidores.
Saúde no Ar | Tecnologia e Sociedade | 22 de outubro de 2026 | Tempo estimado de leitura: 5 minutos.
O que importa em 30 segundos
As vulnerabilidades CVE-2026-109618 e CVE-2026-109619 podem permitir a execução remota de comandos em servidores que utilizam versões afetadas do PHP, sem necessidade de senha. As duas falhas receberam pontuação crítica de 9,2 em 10 na escala CVSS v4.0.
Em 21 de outubro, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) publicou a Recomendação Técnica nº 19/2026, com orientação de correção imediata ou isolamento temporário das aplicações expostas à internet.
Importante: a suspensão preventiva de um serviço não significa, por si só, que houve invasão ou vazamento de dados.
Órgãos públicos brasileiros adotam medidas emergenciais
A Agência Nacional de Telecomunicações (Anatel) informou que suspendeu temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI). Segundo nota da agência divulgada pela imprensa, a indisponibilidade decorre de uma vulnerabilidade na tecnologia PHP utilizada no ambiente do sistema, e não de uma falha própria do SEI. A medida busca proteger documentos e informações institucionais enquanto as correções são avaliadas.
Na Justiça Federal, decisões divulgadas em 21 de outubro afetaram diferentes regiões:
- TRF-1: suspendeu o acesso externo ao SEI, seguindo recomendação do TRF-4. O tribunal classificou a decisão como preventiva e não informou prazo para normalização no comunicado inicial.
- TRF-4: interrompeu temporariamente o acesso externo a sistemas e suspendeu os prazos processuais no eproc em 21 de outubro, conforme aviso e portaria da instituição.
- TRF-6: suspendeu o expediente e os prazos processuais em 21 de outubro, diante da indisponibilidade do eproc e de outros sistemas. A decisão foi anunciada oficialmente pelo tribunal em Minas Gerais.
As restrições afetam atividades administrativas e judiciais, podendo exigir atenção especial de cidadãos, advogados e empresas com processos em andamento. Cada órgão deve divulgar seus próprios procedimentos e eventuais prorrogações.
O que é PHP e por que essas falhas são graves?
PHP é uma linguagem de programação utilizada no funcionamento de páginas e serviços digitais. Ela está presente na infraestrutura de inúmeras aplicações e plataformas de gestão de conteúdo, como WordPress, Drupal e Joomla.
As falhas envolvem o gerenciamento de memória do PHP. Em determinadas condições, um invasor pode explorar esse comportamento para executar código no servidor afetado, ler informações acessíveis ao processo ou interromper serviços. O risco concreto depende da versão instalada, da configuração do servidor e das proteções existentes.
Segundo o NHS England Digital, ambas as vulnerabilidades receberam classificação crítica de 9,2. Autoridades internacionais recomendaram priorizar os sistemas acessíveis diretamente pela internet.
Inteligência artificial auxiliou na descoberta
Pesquisadores de segurança utilizaram recursos de inteligência artificial na identificação e análise das vulnerabilidades. A empresa Wiz relatou trabalho de investigação com modelos de IA e colaboração com a comunidade responsável pelo PHP para viabilizar correções.
O episódio mostra um duplo efeito da tecnologia: ferramentas de inteligência artificial podem acelerar a identificação de falhas e a defesa de sistemas, mas a divulgação de vulnerabilidades também amplia a urgência de proteção diante da possibilidade de tentativas automatizadas de exploração.
Governo brasileiro e autoridades internacionais recomendam atualização urgente
O CTIR Gov orientou órgãos e organizações a identificar instalações PHP vulneráveis e atualizar prioritariamente aplicações expostas à internet. Se a correção imediata não for possível, a recomendação é avaliar o isolamento temporário dos sistemas e restringir acessos públicos.
Os desenvolvedores disponibilizaram em 21 de outubro as versões corrigidas PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Versões anteriores à linha 8.2 não recebem atualizações diretamente do projeto PHP, embora alguns fornecedores ofereçam correções específicas.
O Centro Canadense de Segurança Cibernética também recomendou atualização imediata, monitoramento de atividades suspeitas e isolamento de aplicações que não possam ser corrigidas rapidamente.
Quais são os riscos para o cidadão?
Serviços públicos e privados podem armazenar documentos administrativos, registros financeiros, informações pessoais e dados sensíveis. Uma invasão bem-sucedida, quando ocorre, pode resultar em acesso indevido, interrupção de serviços, alteração de informações ou instalação de programas maliciosos.
Para o cidadão, o cuidado imediato é acompanhar os canais oficiais dos órgãos envolvidos, evitar links não verificados que prometam restabelecimento de serviços e jamais compartilhar senhas ou códigos de autenticação.
Para empresas e gestores de sites, é fundamental solicitar ao responsável técnico ou à hospedagem a verificação da versão do PHP, a instalação das correções apropriadas e a análise dos registros de segurança. Em sites WordPress, atualizar apenas plugins e temas não substitui a atualização do PHP do servidor.
Saúde no Ar | Análise: segurança digital também é bem-estar social
A transformação digital ampliou o acesso a serviços públicos e facilitou a vida da população. Entretanto, quando plataformas essenciais ficam indisponíveis, o impacto pode alcançar o acesso à Justiça, o atendimento administrativo e a continuidade de serviços.
Na saúde, a dependência de sistemas eletrônicos torna ainda mais importante proteger prontuários, exames e dados de pacientes. Isso não significa que plataformas de saúde tenham sido atingidas neste episódio, mas reforça a necessidade de manutenção preventiva, atualização tecnológica e planos para continuidade do atendimento.
O desafio é conciliar três prioridades: inovação, continuidade dos serviços e proteção das informações da sociedade. O avanço digital também precisa ser medido pela confiança e pela segurança que oferece à população.
Fontes e documentos consultados
- CTIR Gov — Recomendação Técnica nº 19/2026, 21/10/2026.
- PHP — comunicado oficial sobre as correções, 21/10/2026.
- TRF-1 — suspensão temporária do acesso externo ao SEI.
- TRF-4 — suspensão de prazos no eproc em 21/10/2026.
- TRF-6 — comunicado oficial de suspensão de expediente e prazos.
- NHS England — alerta técnico sobre vulnerabilidades no PHP.
- Folha de S.Paulo — medidas adotadas pela Anatel e por tribunais, 22/10/2026.