A Fundação PHP confirmou que os primeiros sinais da falha de segurança que levou sites e sistemas de governo a saírem do ar nesta semana foram identificados em 2024, dois anos antes de a correção chegar. Em nota, a entidade atribuiu o atraso ao processo de decisão da equipe de segurança e à falta de recursos para tratar o problema antes que ele se tornasse crítico.
A revelação chega dois dias depois de a Anatel suspender o acesso externo ao Sistema Eletrônico de Informações (SEI) e de tribunais regionais federais interromperem sistemas por causa da mesma vulnerabilidade, batizada de PHP2Shell. As falhas, catalogadas como CVE-2026-109618 e CVE-2026-109619 e com nota de gravidade 9,2 em uma escala até 10, afetam o PHP, linguagem usada em cerca de 7 de cada 10 sites do mundo, e permitem que um invasor execute comandos em um servidor sem precisar de senha.
Dois anos de impasse dentro da equipe de segurança
Segundo a Fundação PHP, um desenvolvedor identificou o problema de gerenciamento de memória em 2024, durante a correção de outra falha apontada na primeira auditoria externa do projeto. Na época, alguém levantou a hipótese de que a brecha pudesse ser explorada, mas a equipe não encontrou um caminho concreto de ataque e priorizou outros problemas mais claros, segundo o site The Next Web.
A partir daí, os responsáveis pela segurança do PHP chegaram a desenhar três soluções possíveis, cada uma com um custo alto: uma quebrava a compatibilidade com versões anteriores, outra criava risco de negação de serviço, e a terceira forçava mudanças em milhares de extensões de terceiros usadas por sites ao redor do mundo. Como a equipe é pequena e decide por consenso, o trabalho parou e recomeçou várias vezes ao longo de meses, segundo a fundação.
A auditoria paga pela OpenAI que apressou o conserto
A correção só ganhou urgência depois que o projeto PHP entrou no programa Patch the Planet, da OpenAI, que financia auditorias de segurança em softwares usados em larga escala. Um pesquisador contratado para a auditoria relatou a falha em 11 de agosto, e a própria OpenAI identificou de forma independente a mesma causa raiz no mesmo dia. Em setembro, a empresa concluiu que havia formas de explorar a brecha, o que levou a fundação a tratar o caso como prioridade máxima, de acordo com o The Next Web.
Anatel e tribunais federais ainda sob alerta no Brasil
No Brasil, a Anatel informou que a indisponibilidade do SEI não é uma falha do próprio sistema, mas decorre da vulnerabilidade identificada no PHP, e que outras plataformas que funcionam sobre a linguagem, como Moodle e Joomla, também podem estar expostas. O TRF1 suspendeu o acesso externo ao SEI seguindo recomendação do TRF4, que interrompeu sistemas digitais no Rio Grande do Sul, em Santa Catarina e no Paraná a partir das 11h de 21 de outubro. Em Minas Gerais, o TRF6 suspendeu todo o expediente e os prazos processuais, afetando sistemas como eproc, SEI, Moodle e intranet, segundo o Canaltech.
O CTIR Gov, centro de resposta a incidentes cibernéticos do governo federal, orientou órgãos públicos a atualizar o PHP imediatamente ou suspender o acesso externo a aplicações vulneráveis enquanto a atualização não for feita. Com a confirmação de que a falha era conhecida desde 2024, órgãos que dependem do PHP passam a lidar com um risco que ficou represado dentro de uma equipe de código aberto sem recursos para resolvê-lo antes que se tornasse crítico, e que agora depende da atualização manual de cada servidor público para ser encerrado.
