---
title: "Falhas no PHP põem sistemas públicos em modo de emergência"
author: "Gabriela P. Torres"
date: "2026-10-25 06:26:09.013-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2026/10/25/falhas-no-php-poem-sistemas-publicos-em-modo-de-emergencia/md"
---

## Resumo
- Duas vulnerabilidades críticas no PHP foram reveladas em 21 de outubro de 2026.
- A falha permite execução remota de código sem autenticação e pode expor dados do servidor.
- A Anatel e tribunais federais brasileiros suspenderam sistemas preventivamente.
- Sites do governo federal não foram diretamente afetados, segundo a nota oficial citada.
- Governos europeus também retiraram sistemas do ar para reduzir a exposição ao risco.
- Modelos de inteligência artificial ajudaram a identificar as vulnerabilidades.
- Correções foram divulgadas para as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

---

Em **21 de outubro de 2026**, duas vulnerabilidades críticas no PHP, linguagem que sustenta cerca de **70% da web**, levaram órgãos públicos brasileiros e europeus a suspender sistemas preventivamente. A falha permite execução remota de código, isto é, enviar ordens ao servidor sem autenticação. O [relato sobre a descoberta com IA](https://desbugados.scale.press/post/2026/10/22/php2shell-ia-encontra-falhas-em-codigo-de-70-da-web) ajuda a localizar o problema, mas não substitui a verificação do dano: a suspensão se sustenta; uma invasão ampla no Brasil, pelas fontes consultadas, não está comprovada.

## O que a falha permite

A primeira afirmação a testar é a gravidade técnica. As falhas identificadas como **CVE-2026-109618** e **CVE-2026-109619** permitem execução remota de código e acesso a dados do servidor sem login ou senha. Em termos práticos, quem explora o defeito não precisa primeiro conquistar uma conta para tentar controlar a máquina. A descoberta contou com auxílio de modelos de **inteligência artificial**. Isso descreve o método de pesquisa, não prova que a IA tenha causado o incidente. A parte comprovada é a exposição da linguagem; a extensão dos danos depende de cada sistema afetado.

Essa escala ajuda a explicar a resposta no Brasil. [Segundo o G1](https://g1.globo.com/tecnologia/noticia/2026/10/22/falhas-no-php-levam-tribunais-no-brasil-e-anatel-a-suspender-sistemas-governo-emite-alerta.ghtml), o governo emitiu alerta para atualização imediata, enquanto a **Anatel** e tribunais federais retiraram sistemas do ar por precaução; o sistema SEI ficou temporariamente inativo. A nota oficial informa ainda que sites do governo federal não foram diretamente afetados porque usam outras tecnologias. Portanto, sistema público fora do ar não equivale automaticamente a governo invadido: nas fontes consultadas, não houve grandes impactos relatados no país até o momento. O apagão preventivo é fato; o comprometimento generalizado, não.

## O que foi desligado e o que já foi corrigido

A mesma lógica apareceu fora do país. Governos europeus, incluindo **Holanda** e **França**, suspenderam sistemas preventivamente depois que a falha se mostrou explorável sem autenticação, e serviços como a Wikimedia e o Internet Archive também fizeram suspensões preventivas. Se o risco permite execução remota, então desligar temporariamente reduz a superfície exposta enquanto o patch não é aplicado; senão, a medida seria difícil de justificar. Neste caso, a comparação entre Brasil e Europa aponta para uma resposta parecida: indisponibilidade imediata em troca de tempo para corrigir.

A correção já foi divulgada para as versões **8.5.12, 8.4.27, 8.3.36 e 8.2.35**, e a orientação é atualizar imediatamente. A solução não é trocar um painel administrativo ou esperar que o site volte sozinho: o reparo precisa alcançar a infraestrutura PHP, segundo a análise técnica disponível. O próximo passo documentado é aplicar o pacote compatível e manter offline o que não puder ser atualizado. Veredito: a emergência de segurança se sustenta, a descoberta por IA se sustenta e a existência de uma invasão ampla no Brasil não dá para saber.