Falha no PHP derruba SEI na Anatel e leva TRF-1 a suspender acesso externo

Uma falha crítica na linguagem de programação PHP, usada em milhares de sites e sistemas, levou o Brasil a tirar do ar serviços públicos nesta quinta-feira, 22. A Agência Nacional de Telecomunicações (Anatel), com sede em Brasília, deixou o Sistema Eletrônico de Informações (SEI) indisponível, e ao menos três tribunais regionais federais, entre eles o TRF-1, que abrange o Distrito Federal, suspenderam o acesso externo ao sistema. As informações são da Folhapress.

A Anatel disse em nota que a indisponibilidade "está relacionada a uma vulnerabilidade recente identificada no próprio PHP" e que qualquer aplicação executada em servidor PHP pode ser afetada. A agência não deu previsão para o serviço voltar.

Quais órgãos suspenderam o acesso?

• TRF-1: suspendeu o acesso externo ao SEI na quarta-feira, 21, sem data para normalizar. O tribunal afirma que a medida é preventiva e protege a integridade das informações.
• TRF-6: bloqueou o acesso e chegou a suspender o expediente na quarta. O trabalho foi retomado nesta quinta.
• TRF-4: suspendeu o acesso ao sistema na quarta, por segurança.
• Anatel: SEI fora do ar, sem previsão de retorno.

O Ministério da Gestão e da Inovação em Serviços Públicos informou que os sites do governo federal e a plataforma Gov.br não foram afetados. A reportagem não detalha se órgãos do Governo do Distrito Federal tiveram sistemas fora do ar.

O que aconteceu na quarta-feira

O Centro Integrado de Segurança Cibernética do Governo Digital mandou na quarta um alerta a todos os órgãos que usam PHP. A orientação foi atualizar os sistemas de imediato e, onde isso não for possível, restringir o acesso. Governos da Europa e de outras regiões já haviam retirado sites do ar por precaução.

Os desenvolvedores do PHP publicaram correções urgentes para falhas que ficaram escondidas no software por anos e foram achadas com ajuda de inteligência artificial. Segundo Madeline Lawrence, cofundadora da empresa belga de segurança Aikido Security, os detalhes vieram a público antes de as correções ficarem prontas, e os ataques foram relatados desde então. "Essa é toda a corrida", disse ela, sobre a disputa entre quem corrige e quem explora a falha.

A Cloudflare registrou milhares de tentativas de exploração nas 10 horas anteriores ao anúncio público, segundo o presidente-executivo da empresa, Matthew Prince. Depois da divulgação, o número chegou à casa dos milhões. O presidente-executivo da Microsoft, Satya Nadella, afirmou em evento na Alemanha que fazia muito tempo que não via algo parecido.

O que o cidadão e o advogado do DF precisam saber

Quem tem processo na Justiça Federal do DF e usa o SEI externo pode encontrar o acesso bloqueado até o TRF-1 divulgar a retomada. Os tribunais não informaram, nas notas citadas, se prazos processuais foram alterados. O TRF-6 foi o único a relatar suspensão de expediente, na quarta. Antes de agir, confira os avisos no site do próprio tribunal.

O episódio se soma a outros casos de invasão que já passaram pelo noticiário do DF, como o ataque hacker à Defesa Civil, que disparou o falso alerta de "misantropia", e a condenação mantida pelo TJDFT por invasão ao sistema do Hospital Santa Marta. A próxima informação esperada é a nota de cada órgão com o horário em que o SEI volta a funcionar.