A Agência Nacional de Telecomunicações (Anatel) confirmou ao Canaltech que retirou temporariamente do ar o Sistema Eletrônico de Informações (SEI) por causa das duas vulnerabilidades críticas descobertas no PHP, que provocaram um alerta mundial na quarta-feira (21). As falhas podem permitir que criminosos executem comandos maliciosos em servidores sem precisar de autenticação. A suspensão preventiva também alcançou o Tribunal Regional Federal da 1ª Região (TRF1), a Justiça Federal da 4ª Região e, em Minas Gerais, o Tribunal Regional Federal da 6ª Região (TRF6), que suspendeu expediente e prazos processuais.
O que as duas falhas no PHP permitem fazer?
O PHP é a linguagem de programação de servidor usada por grande parte dos sites da internet, segundo o Canaltech. As vulnerabilidades descobertas são tratadas como críticas porque abrem caminho para a execução remota de comandos maliciosos sem autenticação: o atacante não precisaria de login ou senha válidos no sistema afetado para tentar explorar o servidor.
A Anatel afirmou ao Canaltech que a origem do problema não está no SEI. “O caso não se trata de uma falha ou vulnerabilidade inerente ao SEI. A indisponibilidade temporária do serviço está relacionada a uma vulnerabilidade recente identificada no próprio PHP”, explicou a agência.
A agência acrescentou que outros sistemas executados em ambientes PHP também podem ser afetados, incluindo plataformas como Moodle e Joomla.
Quais órgãos suspenderam sistemas no Brasil?
O SEI é usado por empresas, advogados e cidadãos para acompanhar processos administrativos, enviar documentos, apresentar petições e realizar assinaturas eletrônicas junto à Anatel. Com a suspensão do acesso externo, essas atividades podem ficar temporariamente indisponíveis.
A Anatel também anunciou a suspensão de outros serviços digitais, mas não detalhou quais foram afetados nem informou previsão de restabelecimento. A medida não significa que as redes de telefonia e internet do país tenham sido afetadas, já que o SEI é uma ferramenta administrativa da agência.
O TRF1 suspendeu temporariamente o acesso externo ao SEI em razão das vulnerabilidades do PHP. Segundo o tribunal, a decisão segue recomendação do Tribunal Regional Federal da 4ª Região (TRF4) e busca proteger os sistemas e as informações institucionais. Não há previsão para o restabelecimento do serviço.
A Justiça Federal da 4ª Região, que atende Rio Grande do Sul, Santa Catarina e Paraná, interrompeu o acesso externo aos seus sistemas a partir das 11h daquela quarta-feira. As ferramentas continuariam funcionando normalmente nas dependências do órgão.
Em Minas Gerais, o TRF6 suspendeu o expediente e os prazos processuais em toda a Justiça Federal do estado, segundo o portal O Fator. Entre os sistemas com problemas estão o eproc, usado na tramitação de processos judiciais, o SEI, o Moodle e o próprio portal e intranet do tribunal.
Até o momento não há confirmação de invasões aos sistemas desses órgãos. As suspensões anunciadas têm caráter preventivo, conforme o Canaltech.
Como mapear dependências de legado antes que a falha vire interrupção?
A análise a seguir é editorial: são critérios de trabalho para líderes de tecnologia, não recomendações atribuídas à Anatel, ao TRF1, ao TRF4 ou ao TRF6.
O episódio mostra que a exposição não depende apenas do sistema de negócio, mas da camada sobre a qual ele roda. Um órgão pode ter um software íntegro e ainda assim precisar tirá-lo do ar porque a linguagem que o sustenta está vulnerável. O mesmo raciocínio vale para empresas que mantêm aplicações antigas em produção.
- Inventário de dependências: liste quais sistemas rodam em PHP e em outras linguagens, com versão, bibliotecas de terceiros e responsável técnico por cada item.
- Classificação por criticidade: separe o que é serviço administrativo do que é operação voltada ao cliente, para saber o que pode ser suspenso preventivamente sem parar receita ou atendimento.
- Plano de contingência com prazos: o caso do TRF6 mostra que uma suspensão técnica pode alcançar prazos processuais. Empresas com obrigações contratuais e prazos regulatórios precisam definir, antes do incidente, quem decide desligar um sistema e como o público afetado é avisado.
- Propriedade da correção: defina em contrato quem aplica atualizações de segurança em cada componente, inclusive quando o sistema é mantido por fornecedor externo ou por equipe interna reduzida.
Nenhum desses itens garante imunidade a uma falha nova. O que eles reduzem é o intervalo entre o alerta e a decisão, que é justamente o período em que a interrupção acontece.
Até o momento, o que se sabe é que Anatel, TRF1, Justiça Federal da 4ª Região e TRF6 interromperam acessos de forma preventiva por causa de duas falhas no PHP, sem confirmação de invasão e sem previsão de retorno divulgada pelos órgãos. Para quem lidera tecnologia, o teste prático é simples: se o alerta chegasse hoje, a sua equipe saberia dizer, em horas, quais sistemas rodam em PHP e quem responde por cada correção. Se a resposta for não, vale conversar com o time da GTM Capital sobre como estruturar esse mapa e o plano de resposta.
Perguntas frequentes
As falhas no PHP afetaram a telefonia e a internet no Brasil?
Não. Segundo a Anatel informou ao Canaltech, a suspensão do SEI não significa que as redes de telefonia e internet do país tenham sido afetadas, porque o SEI é uma ferramenta administrativa da agência reguladora.
O SEI da Anatel já voltou a funcionar?
A Anatel não informou previsão de restabelecimento ao Canaltech. A agência confirmou a retirada temporária do SEI do ar por causa das vulnerabilidades no PHP e também anunciou a suspensão de outros serviços digitais, sem detalhar quais foram afetados.
Quais sistemas do TRF6 foram afetados pelas falhas no PHP?
Segundo o portal O Fator, os sistemas com problemas no TRF6 incluem o eproc, o SEI, o Moodle e o portal e intranet do tribunal. O TRF6 suspendeu o expediente e os prazos processuais em toda a Justiça Federal de Minas Gerais diante da necessidade de medidas emergenciais de segurança relacionadas ao PHP.
