Órgãos públicos e tribunais brasileiros decidiram suspender o uso de plataformas administrativas após a identificação de duas brechas de segurança críticas na linguagem PHP. O governo federal emitiu um aviso oficial por meio do Centro Integrado de Segurança Cibernética do Governo Digital (CISC) recomendando a atualização urgente dos sistemas afetados.
O impacto nos tribunais e na Anatel
A Agência Nacional de Telecomunicações optou por paralisar temporariamente o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outras ferramentas digitais como medida preventiva de proteção de dados. No âmbito judicial, o Tribunal Regional Federal da 4ª Região (TRF4), o Tribunal Regional Federal da 1ª Região (TRF1) e o Tribunal Regional Federal da 6ª Região (TRF6) adotaram o mesmo procedimento para resguardar seus ambientes virtuais.
“A medida tem caráter preventivo e visa resguardar a segurança do sistema e a integridade das informações institucionais”, afirmou o TRF1. “No momento, não há previsão para o restabelecimento do acesso externo ao SEI”.
Riscos e o papel da inteligência artificial
As falhas recém-descobertas permitem que invasores assumam o controle direto dos servidores que sustentam páginas na internet sem a necessidade de credenciais de acesso, como login e senha. O problema foi detectado de forma independente em agosto por meio de ferramentas de inteligência artificial, envolvendo a empresa de segurança Calif e a OpenAI, com desdobramentos adicionais mapeados pela Wiz.
“Rankings públicos ainda apontam o PHP como a linguagem usada em cerca de 70% dos sites. Com a descoberta dessa vulnerabilidade, os sites que não forem atualizados rapidamente poderão ser invadidos”, diz Thiago Ayub, diretor de tecnologia da Sage Networks e especialista em telecomunicações.
Medidas adotadas internacionalmente
O cenário de alerta não ficou restrito ao Brasil, resultando na interrupção de portais governamentais em diversas nações. Nos Estados Unidos, a Agência de Segurança Nacional (NSA) exigiu a correção imediata ou o desligamento preventivo dos ambientes vulneráveis. Na França, administrações locais e a Prefeitura de Polícia de Paris também tiraram páginas do ar após ordens da cibersegurança nacional.
“Essas descobertas estão entre as vulnerabilidades mais graves descobertas no PHP e, possivelmente, na história do software”, afirmou a Wiz na quarta-feira (21).
“Por mais de uma década, essas vulnerabilidades críticas permaneceram sem resposta porque a descoberta e exploração de vulnerabilidades eram incrivelmente complexas [sem o uso da IA]”, disse a Wiz.
Apesar da gravidade do alerta emitido para a tecnologia que alimenta plataformas amplamente utilizadas no mundo corporativo e educacional, especialistas relatam que ainda não há registros de danos expressivos decorrentes do problema no território brasileiro.
