Falhas críticas no PHP tiram SEI do ar na Anatel e em tribunais; correção já existe

A Anatel e tribunais federais suspenderam, por precaução, o acesso ao Sistema Eletrônico de Informações (SEI) depois que o projeto PHP revelou, em 21 de outubro, duas vulnerabilidades críticas na linguagem. O TRF1, o TRF4, com sede em Porto Alegre, e o TRF6 confirmaram a suspensão do acesso externo ao sistema.

Quem tem site, loja virtual ou sistema em PHP precisa checar a versão instalada. Toda instalação que atende requisições web está exposta, seja em PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP ou LiteSpeed.

O que são as falhas e quais versões têm correção

As falhas recebem os códigos CVE-2026-109618 e CVE-2026-109619. Ambas têm nota 9,2 na escala CVSS v4 e podem permitir execução remota de código sem autenticação. Na prática, o invasor não precisa de usuário nem senha. A empresa Datadog, que reproduziu as falhas de forma independente, confirmou que a autenticação da aplicação não barra o ataque, porque o PHP processa a requisição maliciosa antes de qualquer código do sistema.

As correções estão nas versões PHP 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Segundo a Google Cloud, todas as versões de 5.4 até 8.5.11 são vulneráveis.

Para quem usa PHP 8.1 ou anterior, o caminho é mais difícil. Essas versões não recebem mais atualizações do projeto principal, e algumas distribuidoras e fornecedores de suporte estendido podem oferecer correções específicas. A Rapid7 informa que o PHP publicou backports limitados de código-fonte para as versões 7.4, 8.0 e 8.1.

SEI não precisa de nova versão

O Processo Eletrônico Nacional (PEN), que mantém o SEI, informou que o sistema usa PHP, mas não exige instalar uma nova versão do SEI. A correção vem do próprio PHP, e o comunicado orienta os órgãos a tomar medidas preventivas.

A Anatel afirmou que não se trata de falha inerente ao SEI e que a indisponibilidade decorre de vulnerabilidade recente no próprio PHP. A agência acrescentou que outras plataformas em ambiente PHP, como Moodle e Joomla, também podem ser afetadas.

O alerta do governo federal foi publicado na quarta (21) pelo Centro Integrado de Segurança Cibernética do Governo Digital (CISC). O texto recomenda identificar sistemas e servidores que usam PHP, verificar as versões instaladas e aplicar de imediato as atualizações do fornecedor. Se a atualização não puder ser feita na hora, o alerta manda restringir o acesso à aplicação exposta, medida que não substitui a correção.

Risco real e origem da descoberta

O risco já saiu do papel em outros países. A Tenable informa que tentativas de exploração começaram antes da divulgação pública. A Rapid7 afirma que há indícios de que a pesquisa esteja sendo reproduzida por terceiros e de que um exploit completo deve ficar público em breve. O TSE não informou se seus sistemas usam PHP nem se as eleições deste ano sofrem algum impacto.

Thiago Ayub, diretor de tecnologia da Sage Networks, diz que rankings públicos apontam o PHP em cerca de 70% dos sites e que os que não forem atualizados rapidamente poderão ser invadidos.

A descoberta envolveu inteligência artificial, segundo as empresas. A Sansec registra que a Calif reportou o primeiro problema ao PHP em 11 de agosto e a Wiz Research, em 24 de agosto. A Wiz diz ter usado os modelos Gemini, do Google, e GPT, da OpenAI. A informação sobre o uso de IA vem das próprias empresas. A existência das falhas, por sua vez, foi reproduzida por outras equipes, como a Datadog.

Como proteger um site

Quem administra WordPress, Moodle, Magento ou qualquer outro sistema em PHP deve conferir a versão do PHP no painel da hospedagem ou com o comando php -v no servidor. A Sansec alerta que lojas Magento, Shopware e WooCommerce ficam expostas mesmo com código próprio limpo, porque a falha está no motor do PHP. O PHP também orienta reiniciar todos os processos de PHP depois da atualização.

Em hospedagem compartilhada, o caminho é cobrar do provedor a atualização para PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou a troca de versão no painel. Quem usa Plesk deve atualizar o painel para a versão mais recente. Os avisos oficiais estão na página de notícias do PHP (php.net/archive/2026.php) e no site do CISC, em gov.br/cisc.