Quarta-feira, 21 de outubro, o SEI saiu do ar
Na quarta-feira, a Agência Nacional de Telecomunicações (Anatel) tirou do ar o Sistema Eletrônico de Informações (SEI), a plataforma por onde tramitam os processos da agência. No mesmo dia, o Tribunal Regional Federal da 1ª Região (TRF1) cortou o acesso externo ao seu SEI, a Justiça Federal da 4ª Região fechou o acesso externo aos sistemas a partir das 11h e, em Minas Gerais, o TRF6 suspendeu expediente e prazos processuais. Ninguém tinha sido invadido. Todos se protegiam da mesma coisa, segundo reportagem do Canaltech publicada naquela tarde.
A coisa tinha nome. Duas falhas no interpretador do PHP, a linguagem que roda por trás de boa parte da web, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de “php2shell”. Com nota de gravidade 9,2 em 10, elas permitem que um atacante sem senha execute comandos no servidor. A Anatel fez questão de dizer que o problema não estava no SEI, e sim na linguagem por baixo dele, e lembrou que Moodle e Joomla, também escritos em PHP, estavam expostos da mesma forma.
Fora do Brasil, o reflexo foi o mesmo. Alemanha, Países Baixos, Bélgica, França e Finlândia retiraram serviços digitais do ar por precaução, de acordo com o mesmo levantamento do Canaltech (outubro de 2026).
Uma linguagem em 70% da web, e em lugares que ninguém lembra
O alcance explica o susto. A Cloudflare estima que o PHP esteja presente em cerca de 70% dos sites, conforme citou o Tecnoblog em 21 de outubro de 2026. Loja virtual, portal de notícias, intranet, plataforma de ensino, sistema de protocolo. E as versões vulneráveis começam no PHP 5.4, lançado há mais de uma década.
As falhas foram encontradas meses antes, de forma independente, pela empresa de segurança Calif e pela OpenAI, segundo o Tecnoblog. O roteiro previsto era o de sempre: o projeto PHP prepara a correção, avisa e publica tudo junto. O roteiro vazou. Detalhes circularam antes da hora, e quem administra servidor passou a correr contra um cronograma que já não controlava. A Cloudflare ativou regras no seu firewall de aplicação web (WAF) cerca de nove horas antes da divulgação pública, o que protegeu parte de quem está atrás dela, sem dispensar a atualização.
As versões corrigidas saíram no próprio dia 21: 8.2.35, 8.3.36, 8.4.27 e 8.5.12. O Centro Canadense de Segurança Cibernética, em alerta publicado na mesma data, lista essas quatro como as únicas correções oficiais. Do PHP 8.1 para trás, o projeto não publica mais atualização. Quem roda versão antiga depende de a distribuição Linux ou de um fornecedor de suporte estendido ter adaptado a correção. Ou precisa migrar.
O patch saiu em um dia. Saber onde aplicar leva mais tempo
A orientação do Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), ligado ao Gabinete de Segurança Institucional da Presidência, começa por um verbo que parece simples: identificar os sistemas que usam PHP. Depois vem instalar as versões corrigidas. E, se não der para atualizar, avaliar a suspensão temporária do acesso externo às aplicações vulneráveis, segundo o Canaltech (outubro de 2026).
Os tribunais escolheram a terceira opção, e desligar pode ser a decisão certa. O que pesa é o motivo. Quem sabe onde roda cada versão do PHP aplica a correção e segue o dia. Quem não sabe tira tudo do ar até descobrir.
O alerta canadense vai um passo além e pede para identificar produtos de terceiros, appliances e contêineres que carregam PHP embutido. É a parte que costuma escapar. O painel de administração de um equipamento de rede, o sistema de chamados comprado pronto, o portal do fornecedor de folha de pagamento, a imagem de contêiner que alguém baixou anos atrás e ninguém reconstruiu. Nenhum deles aparece como “sistema em PHP” na planilha de TI, e todos podem estar expostos.
Para o gestor brasileiro, as perguntas da semana cabem em uma reunião curta.
Quais sistemas da empresa, próprios ou contratados, rodam PHP?
Em qual versão, e quantos estão abaixo da 8.2?
Quais desses estão abertos para a internet?
Qual fornecedor já confirmou, por escrito, que aplicou a correção?
A semana não terminou na quarta
Em 23 de outubro veio a terceira falha. A CVE-2026-115560 também permite execução remota de código e não é coberta pelas atualizações do dia 21, segundo a atualização do alerta canadense publicada naquela data. A exploração exige uma combinação incomum de configuração e comportamento da aplicação, e existe um paliativo conhecido: desligar o recurso de progresso de upload de sessão (session.upload_progress.enabled=0). Quem já tinha feito esse ajuste por causa da CVE-2026-109619 não precisa de ação extra.
No mesmo dia, o SANS Internet Storm Center, que acompanha incidentes em tempo real, baixou seu nível de alerta de volta para verde. O balanço dos analistas vale pela sobriedade. Até ali não havia exploit público confiável, embora várias empresas já tivessem código funcional e a expectativa fosse de que ele vazasse. Cloudflare e Amazon registraram muitas tentativas de exploração, sem clareza de quantas funcionavam. E um aviso lateral: parte das provas de conceito em circulação foi feita para atacar quem as executa. A equipe que baixa um exploit da internet para “testar o próprio servidor” pode estar instalando o problema.
A conclusão do SANS é direta. Aplicar a correção é a única defesa confiável. Regras de firewall e paliativos compram tempo e não substituem o patch.
Onde a sua empresa entra nessa história
Os órgãos públicos ficaram em evidência porque anunciam o que desligam. Empresa privada desliga em silêncio, ou não desliga. E o risco maior raramente está na loja virtual principal, que costuma ter dono e atualização em dia. Está no sistema periférico que ninguém lembra que existe, rodando PHP 7 num servidor que ninguém quer mexer.
Na semana passada, esta coluna tratou do fornecedor crítico que para e leva o seu cliente junto. O php2shell é o mesmo assunto visto por dentro: uma dependência que não aparece no contrato porque está uma camada abaixo dele, no software que o fornecedor usa.
Desta vez a correção saiu em um dia. A lista de onde roda o PHP da sua empresa é a mesma que vai estar na mesa quando a próxima falha aparecer, e vale descobrir agora se ela existe.
Fontes: Canaltech (21/10/2026), Tecnoblog (21/10/2026), Centro Canadense de Segurança Cibernética, alerta AL26-026 (21/10/2026, atualizado em 23/10/2026), SANS Internet Storm Center (23/10/2026).
Até o próximo Café com Bytes, com ceticismo saudável e café bem passado.
Ricardo Brasil | Especialista em IA Responsável e Diretor de TI na GWS Engenharia — Colunista Café com Bytes | Tecnologia | Inteligência Artificial
Sobre o Autor
Ricardo Brasil é Diretor de TI e Gestão Corporativa da GWS Engenharia, especialista em IA Responsável, transformação digital e governança de TI. É colunista da série Café com Bytes, onde escreve semanalmente sobre tecnologia, inteligência artificial e seus impactos no ambiente corporativo brasileiro.
