O projeto PHP publicou na quarta-feira (21) versões de emergência para fechar duas brechas que permitem executar código em servidores sem nenhuma autenticação. As falhas receberam os códigos CVE-2026-109618 e CVE-2026-109619 e nota 9,2 em 10 na escala CVSS. As versões corrigidas são 8.5.12, 8.4.27, 8.3.36 e 8.2.35; para as séries 7.4, 8.0 e 8.1, já sem suporte, o projeto liberou apenas remendos mínimos no código-fonte. Instalações com mod_php no Apache são as mais expostas, e o aviso oficial admite que ajustes de configuração reduzem o risco, mas não substituem a atualização.16
A descoberta é atribuída às empresas de segurança Calif e Wiz, que dizem ter achado as falhas com apoio de modelos de inteligência artificial e coordenado a divulgação com a equipe do PHP e a OpenAI. A Amazon detectou uma tentativa de exploração em um servidor-isca em 17 de outubro, quatro dias antes do anúncio, e afirma que ataques já circulam em escala. Na Holanda, o centro nacional de cibersegurança tirou o próprio site do ar, seguido pelo Porto de Roterdã, pelo portal Overheid.nl, por hospitais e pelos cinco maiores partidos. A Finlândia desligou a rede pública do governo, o Ministério do Interior francês pôs todas as páginas em manutenção, e a Wikipédia desativou sistemas. A Censys calcula que 1,5 milhão de 2,6 milhões de servidores identificados rodam versões ainda sem correção.2
No Brasil, a Anatel suspendeu na quarta o acesso ao SEI, sistema de tramitação de processos administrativos, e disse que a vulnerabilidade está no ambiente PHP, não no SEI. O portal voltou a operar na manhã desta quinta (22). A Justiça Federal da 4ª Região cortou o acesso externo a seus sistemas a partir das 11h de quarta, e o TRF1 seguiu a mesma recomendação. O CTIR Gov, ligado ao GSI da Presidência, emitiu alerta para que os órgãos mapeiem tudo o que roda em PHP, atualizem de imediato e, quando isso não for viável, cortem o acesso externo. Nenhuma invasão foi confirmada em órgãos brasileiros.34
Em Minas, o efeito foi mais amplo. Decisão assinada pelo presidente do TRF6, desembargador Ricardo Machado Rabelo, no fim da manhã de quarta suspendeu o expediente e os prazos processuais em toda a Justiça Federal do estado, por indisponibilidade do eproc, do SEI, do portal, da intranet e do Moodle. A suspensão vale até que os sistemas voltem, e o tribunal não informou previsão.53
Leitura editorial: o episódio diz menos sobre a IA que achou a brecha e mais sobre quanto serviço público depende de uma linguagem com vinte anos de versões vulneráveis acumuladas. SEI, eproc e Moodle são a espinha dorsal administrativa de boa parte do Estado. Para quem administra um site, a ordem é atualizar hoje. Para quem tem processo ou protocolo em andamento, vale guardar o registro oficial da indisponibilidade, porque é ele que sustenta a suspensão do prazo.23