Falhas críticas no PHP levam Anatel e ANP a suspender acessos a sistemas
Correções para duas vulnerabilidades com nota 9,2 foram publicadas nesta quarta-feira. Órgãos brasileiros interromperam acessos externos por precaução, sem atribuir a medida a ataque confirmado.
A Agência Nacional de Telecomunicações (Anatel) e a Agência Nacional do Petróleo, Gás Natural e Biocombustíveis (ANP) suspenderam temporariamente acessos externos a sistemas nesta quarta-feira, 21 de outubro, em uma resposta preventiva a um problema técnico que alcançou múltiplas instituições. Os avisos foram publicados no mesmo dia em que o projeto PHP distribuiu correções para duas vulnerabilidades críticas na linguagem usada por aplicações web.
A Anatel informou que o acesso externo ao Sistema Eletrônico de Informações (SEI) e a outros sistemas foi interrompido temporariamente por precaução. A agência não atribuiu a medida a um ataque confirmado. A ANP também tornou indisponíveis o peticionamento e a consulta pública do SEI; enquanto durar a suspensão, documentos ainda podem ser protocolados pelos Correios ou presencialmente.
Duas falhas com severidade crítica
O alerta técnico do CERT-EU, serviço de resposta a incidentes das instituições da União Europeia, classifica as falhas CVE-2026-109618 e CVE-2026-109619 com nota 9,2 em uma escala que vai até 10. Segundo o órgão, as vulnerabilidades podem permitir execução remota de código sem autenticação em instalações afetadas do PHP.
As correções foram incorporadas às versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35 do PHP, liberadas em 21 de outubro. O CERT-EU recomenda atualização imediata; quando isso não for possível, orienta isolar da internet as aplicações expostas até que a correção seja aplicada. A Reuters confirmou a publicação das novas versões e a gravidade atribuída às falhas.
Indisponibilidade alcança rotinas regulatórias
O episódio revela um risco de infraestrutura que não se limita ao software. A retirada preventiva de sistemas interrompe fluxos regulatórios, consulta de processos e protocolo eletrônico de agentes econômicos. Nos setores de telecomunicações e óleo e gás, a indisponibilidade pode afetar a tramitação de pedidos, manifestações e documentos com prazos administrativos.
Até a atualização desta reportagem, os avisos públicos das duas agências não detalhavam quais aplicações, versões ou fornecedores estavam envolvidos, nem indicavam comprometimento de dados. Também não havia prazo divulgado para a retomada integral. Por isso, não é possível concluir que as vulnerabilidades tenham sido exploradas nos ambientes brasileiros.
Correção e verificação vêm antes da retomada
Para empresas e órgãos públicos, a providência imediata é identificar serviços expostos que utilizem as versões afetadas, aplicar os pacotes corrigidos e revisar registros de acesso. A análise precisa separar a presença do componente vulnerável de uma exploração efetiva e preservar evidências antes de qualquer conclusão sobre incidente.
Os próximos marcos são a restauração segura dos sistemas, a comunicação de eventuais efeitos sobre prazos e a divulgação de informações técnicas pelas instituições responsáveis. Se a suspensão ultrapassar vencimentos regulatórios, Anatel e ANP também terão de esclarecer como serão tratados os atos que dependiam dos canais digitais indisponíveis.