Falhas no PHP derrubam sistemas no Brasil e no exterior

Falhas críticas de segurança na linguagem de programação PHP, utilizada em sites e aplicações na internet, levaram órgãos públicos brasileiros, incluindo tribunais federais e a Agência Nacional de Telecomunicações (Anatel), a suspender temporariamente o acesso a sistemas como medida preventiva. As vulnerabilidades também provocaram a interrupção de serviços digitais em outros países.

🔎 O PHP é uma linguagem de programação utilizada no Brasil e no mundo para desenvolver sites e aplicações na internet, assim como o HTML e o Python. É usado em plataformas de comércio eletrônico, sistemas institucionais e serviços que dependem de bancos de dados e processamento de informações nos servidores. Por ser executado nos bastidores de muitos serviços digitais, falhas no PHP podem comprometer a segurança de sites, servidores e informações armazenadas.

🤳 Notícias em primeira mão: baixe nosso aplicativo gratuito e leve o jornalismo do SBT News com você, onde estiver! Clique aqui.

A Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI) informou que emitiu um alerta na quarta-feira (21), por meio do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), para comunicar as unidades de tecnologia do governo federal sobre os riscos.

"A orientação inicial foi a de retirar temporariamente do ar todos os sistemas desenvolvidos em PHP, desabilitando acessos externos. Um dos sistemas impactados foi o SEI, que foi retirado do ar preventivamente, conforme orientação", disse a secretaria.

Segundo a pasta, apesar da suspensão temporária do SEI, os órgãos continuaram funcionando normalmente. Documentos urgentes que precisam ser encaminhados a outras instituições estão sendo assinados pelo GOV.BR e enviados por e-mail.

Os sites do governo que utilizam outras tecnologias não foram afetados, de acordo com a secretaria.

Quais são os riscos das falhas?

O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) publicou um alerta sobre duas vulnerabilidades críticas na linguagem. Ambas receberam pontuação 9,2 em uma escala de gravidade que vai até 10.

Segundo o órgão, as falhas podem permitir que invasores executem comandos remotamente nos servidores afetados, sem necessidade de autenticação. Isso pode resultar em acesso não autorizado, comprometimento de aplicações e vazamento ou alteração de informações.

O CISC recomendou a atualização imediata do PHP para versões corrigidas. Quando isso não for possível, a orientação é adotar medidas temporárias para reduzir a exposição aos ataques, como restringir o tamanho das requisições, limitar o acesso externo aos serviços e monitorar erros e atividades suspeitas.

A SGD/MGI informou que as equipes de segurança cibernética do governo federal estão avaliando os efeitos das correções e trabalhando para atualizar os sistemas afetados.

Anatel suspendeu sistema por quase dez horas

A Agência Nacional de Telecomunicações (Anatel) informou que retirou preventivamente seu Sistema Eletrônico de Informações (SEI) do ar na quarta-feira (21), entre 12h15 e 22h04, para realizar atualizações de segurança.

Segundo a agência, a medida seguiu recomendações internacionais e não houve registro de invasão nos sistemas.

"Concluídos os procedimentos, o SEI da agência teve seu acesso totalmente restabelecido e reativado na internet às 22h04 do mesmo dia, operando com regularidade", informou a Anatel.

Tribunais federais também suspenderam sistemas

O Tribunal Regional Federal da 1ª Região (TRF1) suspendeu temporariamente o acesso externo ao SEI para proteger os sistemas e as informações institucionais.

Em comunicado, o tribunal afirmou que a decisão foi tomada "em atendimento à recomendação do Tribunal Regional Federal da 4ª Região (TRF4), em razão da divulgação de vulnerabilidades de segurança relacionadas à tecnologia PHP".

O TRF1 destacou que a suspensão tinha caráter preventivo e buscava preservar a segurança do sistema e a integridade das informações.

O TRF4, por sua vez, informou que o acesso externo aos sistemas da Justiça Federal da 4ª Região seria interrompido a partir das 11h de quarta-feira (21).

Já o Tribunal Regional Federal da 6ª Região (TRF6) restabeleceu o funcionamento dos sistemas e retomou o expediente e os prazos processuais nesta quinta-feira (22). Segundo o tribunal, a retomada ocorreu após a atualização e a verificação da disponibilidade dos serviços.

Falhas provocam suspensão de serviços em outros países

As vulnerabilidades também mobilizaram governos e empresas no exterior. Na quarta-feira (21), a equipe de segurança responsável pelo PHP divulgou correções para duas falhas críticas que, segundo as informações divulgadas, estavam presentes no software havia anos e foram descobertas com o auxílio de inteligência artificial.

Após a divulgação, organizações de diferentes países suspenderam preventivamente serviços digitais enquanto trabalhavam para atualizar seus sistemas.

No Japão, empresas e órgãos públicos interromperam temporariamente alguns serviços on-line. Na Finlândia, a provedora estatal de tecnologia Valtori informou que continuava instalando correções após a suspensão de serviços públicos digitais.

A Cloudflare, empresa de infraestrutura de internet, relatou milhões de tentativas de exploração das vulnerabilidades após sua divulgação pública.

A companhia informou que implementou proteções para clientes que utilizam seu firewall de aplicações web, ferramenta destinada a bloquear tráfego malicioso. Ressaltou, porém, que essas medidas não substituem a atualização do PHP.

Segundo a empresa, a linguagem é utilizada por quase 70% dos sites.

Como as vulnerabilidades afetam o núcleo do PHP, a correção exige a atualização da linguagem nos servidores. Alterações apenas no código dos sites ou em seus complementos não são suficientes para eliminar os riscos.