Anatel e tribunais restringem serviços digitais devido a falhas graves no PHP

A Agência Nacional de Telecomunicações (Anatel) e diversos tribunais federais brasileiros decidiram restringir o acesso aos seus serviços digitais para prevenir riscos decorrentes de duas vulnerabilidades graves encontradas na linguagem de programação PHP, que afetam a segurança de grande parte da internet global.

A Anatel optou por suspender temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI), plataforma empregada por órgãos públicos na gestão de documentos e processos administrativos. A medida preventiva foi seguida pelo Tribunal Regional Federal da 1ª Região (TRF1), em Brasília, e pelo TRF4, cuja jurisdição abrange a Região Sul do país.

Na mesma linha, a Justiça Federal da 4ª Região e o TRF6, responsável pelo estado de Minas Gerais, adotaram restrições semelhantes. O TRF6 chegou a suspender o expediente e os prazos processuais após detectar instabilidades em seus sistemas eletrônicos. Até o momento, as autoridades informam que não há registro de invasões de grande impacto no território brasileiro em decorrência das falhas.

As vulnerabilidades, catalogadas como CVE-2026-109618 e CVE-2026-109619 e chamadas de PHP2Shell por especialistas em cibersegurança, foram identificadas diretamente no núcleo do mecanismo interno da linguagem. Diferente de falhas comuns em complementos de terceiros, essas brechas comprometem a forma como o sistema gerencia a memória durante solicitações HTTP, permitindo que invasores executem comandos maliciosos e comprometam servidores sem necessidade de cadastro ou autorização prévia.

O Governo Federal emitiu orientações por meio de comunicados oficiais para mitigar os riscos. As recomendações incluem a atualização imediata do PHP para as versões corrigidas lançadas recentemente pelos desenvolvedores da linguagem, a identificação de servidores expostos à internet e a adoção temporária de medidas de contenção, como a restrição do tamanho de requisições HTTP e o monitoramento rigoroso de atividades suspeitas.

A escala do problema mobilizou governos e corporações de várias regiões do planeta. Agências de segurança de países como Estados Unidos, Reino Unido, Finlândia e Japão emitiram alertas emergenciais e recomendaram a suspensão temporária de portais públicos e corporativos para evitar explorações em larga escala, enquanto empresas de tecnologia relatam milhões de tentativas de invasão em redes globais.