Duas falhas críticas no PHP, a linguagem de programação que roda por trás de boa parte dos sites do mundo, levaram tribunais brasileiros, a Anatel e governos europeus a tirar sistemas do ar desde quarta-feira (21). As brechas, catalogadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 numa escala de 0 a 10 e permitem que um invasor execute comandos no servidor sem precisar de login ou senha.
No Brasil, o efeito mais visível caiu sobre a Justiça. O eproc, sistema onde tramitam processos em vários tribunais, ficou fora do ar ou com acesso externo bloqueado em cortes estaduais e federais. Em alguns casos, os prazos processuais foram suspensos. Até a tarde desta quinta-feira (22), não havia confirmação de invasão de grande impacto no país; as interrupções foram tratadas como medida preventiva.
O que é a falha no PHP
As vulnerabilidades foram divulgadas na quarta-feira (21), no mesmo dia em que os mantenedores do PHP liberaram as correções. A empresa de segurança Wiz, que participou da descoberta, batizou o conjunto de “PHP2Shell” e afirma que quase todas as versões da linguagem são afetadas, incluindo edições antigas da série 5.4. Segundo a Wiz, o PHP está presente em cerca de 70% dos sites cujo código é identificável, o que inclui plataformas como WordPress, Drupal e Joomla.
Leia também: Fortnite volta ao iPhone na Austrália após Justiça concluir que Apple violou concorrência · Apple vai destinar até US$ 100 milhões a fornecedora de titânio dos EUA para o iPhone Duo
De acordo com o site especializado Help Net Security, as duas brechas exploram a forma como o PHP limpa a memória entre uma requisição e outra. Uma única chamada maliciosa pode disparar o ataque antes mesmo de o código do site começar a rodar. A Wiz relata ter usado modelos de inteligência artificial na pesquisa e diz que eles reduziram a dificuldade de transformar uma falha antiga em um ataque funcional.
O risco não é só teórico. Um sistema-isca da Amazon registrou uma tentativa de exploração em 17 de outubro, quatro dias antes da divulgação pública, segundo a mesma publicação.
Quais versões corrigem o problema
As versões com a correção são:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Para as séries 7.4, 8.0 e 8.1, que não têm mais suporte oficial, a equipe do PHP publicou ajustes mínimos no código-fonte. Distribuições Linux e fornecedores de suporte estendido também receberam os pacotes antes do anúncio.
O que o governo brasileiro recomendou
O CTIR Gov, centro de resposta a incidentes cibernéticos ligado à Presidência, publicou alerta na quarta-feira pedindo que órgãos públicos e empresas identifiquem os sistemas que usam PHP e instalem as versões corrigidas imediatamente. Quando a atualização não for possível de imediato, a orientação é considerar a suspensão do acesso externo aos serviços vulneráveis. Foi o que boa parte dos órgãos fez.
Quais tribunais e órgãos tiraram sistemas do ar
- TJSP (São Paulo): suspendeu o eproc e o SEI a partir das 12h de quarta para aplicar a atualização, citando um alerta global de segurança. Os serviços voltaram no mesmo dia.
- TJPR (Paraná): informou indisponibilidade do eproc, do SEI e do ambiente de cursos da escola judicial a partir das 11h de quarta, por “atualização não programada”, com previsão de retorno às 15h para eproc e SEI.
- Justiça Federal da 4ª Região (PR, SC e RS): interrompeu o acesso pela internet aos serviços digitais a partir das 11h de quarta; ferramentas internas seguiram funcionando.
- TRF1: bloqueou o acesso externo ao SEI, seguindo orientação do TRF4, sem previsão de normalização.
- TRF6 (Minas Gerais): suspendeu expediente e prazos em toda a Justiça Federal mineira até a volta dos sistemas. Ficaram fora do ar eproc, SEI, portal, intranet e a plataforma de cursos. A decisão foi assinada pelo presidente do tribunal, desembargador Ricardo Machado Rabelo.
- TJTO (Tocantins): afirmou ter sofrido ataque cibernético, ligado a uma vulnerabilidade que vai além do estado. Portal e eproc saíram do ar, e expediente judicial e prazos ficaram suspensos até sexta-feira (23).
- TJBA (Bahia): suspendeu de forma preventiva eproc, portal e SEI após identificar as vulnerabilidades no PHP. O tribunal disse que, até então, não havia evidência de invasão.
- Anatel: bloqueou o acesso externo ao SEI na quarta. O sistema voltou a operar normalmente na manhã desta quinta.
Em Mato Grosso do Sul, o eproc e o SEI do TJMS também ficaram indisponíveis na quarta. Um hacker que se apresenta como Azael reivindicou um ataque, mas o tribunal negou e atribuiu a queda a uma intercorrência técnica durante atualização dos sistemas. Não há confirmação técnica de que o episódio tenha relação com a falha no PHP.
Como ficam os prazos dos processos?
Cada tribunal decide por ato próprio. Em São Paulo, como o eproc ficou fora por mais de uma hora, os prazos que venciam na quarta foram transferidos para o dia útil seguinte. No TRF6 e no TJTO, os prazos estão suspensos; no Tocantins, petições urgentes devem ser enviadas por e-mail indicado pelo tribunal, nos moldes do plantão, e as audiências serão remarcadas pelos cartórios.
A orientação da OAB do Tocantins é que os advogados acompanhem as pautas publicadas por cada câmara. Em qualquer estado, o caminho mais seguro é conferir os comunicados de indisponibilidade no site do tribunal antes de contar um prazo.
O problema atingiu outros países?
Sim. Segundo a Gazeta do Povo, governos da Alemanha, França, Bélgica, Holanda e Finlândia também retiraram serviços públicos do ar. Na Holanda, o portal DigiD, usado pelos cidadãos para acessar serviços do Estado, foi suspenso de forma preventiva. Nos Estados Unidos, a NSA recomendou atualização imediata ou a retirada do sistema do ar até a correção.
Tenho um site em WordPress. Preciso fazer algo?
Quem mantém site em PHP deve confirmar com a empresa de hospedagem se o servidor já recebeu uma das versões corrigidas. A Cloudflare informou ter liberado regras de bloqueio contra os ataques conhecidos para todos os clientes, inclusive no plano gratuito, mas a própria Wiz ressalta que só a atualização do PHP resolve o problema por completo.
O próximo passo é a volta gradual dos sistemas da Justiça. Os tribunais que ainda estão com acesso restrito prometeram novos comunicados assim que a atualização e os testes de segurança forem concluídos; no Tocantins, a suspensão de expediente e prazos vale até sexta-feira (23).
