Na quarta-feira, 21 de outubro de 2026, a Anatel tirou do ar o sistema de processos eletrônicos, e tribunais federais suspenderam o acesso externo aos sistemas. O motivo: duas falhas críticas no PHP, a linguagem por trás de quase 70% dos sites, que permitem executar comandos no servidor sem senha. Elas foram descobertas com inteligência artificial, e a mesma IA que acha a falha também ajuda quem quer explorá-la.

Abaixo estão o que aconteceu, como os hackers já usam agentes de IA para atacar centenas de sites ao mesmo tempo, por que site público e sistema de prefeitura são os alvos mais fáceis, o checklist do que fazer agora e o que eu mesmo mudei no meu site nesta semana.

• As falhas do PHP que tiraram sistemas públicos do ar

• Como hackers usam agentes de IA para invadir sites

• Por que o site público é o alvo mais fácil

• O checklist para proteger o seu site hoje

• O que eu fiz no meu site e como posso ajudar

As falhas do PHP que pararam sistemas

São duas falhas de memória no PHP, chamadas CVE-2026-109618 e CVE-2026-109619, com gravidade 9,2 de 10 segundo o CTIR Gov, o centro de resposta a incidentes do governo federal. Elas existiam havia mais de dez anos e permitem que alguém de fora execute comandos no servidor, sem login. As correções saíram em 21 de outubro.

O detalhe que muda tudo é quem achou. Segundo o Canaltech, a empresa Wiz usou a própria plataforma de pesquisa com o Gemini 4 Argon, do Google, e a Calif encontrou um dos problemas com o GPT-5.6 Sol, numa iniciativa coordenada pela OpenAI. Os pesquisadores demonstraram ataques contra sites em WordPress e Drupal.

No Brasil, a reação foi imediata, de acordo com a cobertura do Canaltech:

• Anatel: tirou o SEI do ar temporariamente, e explicou que o problema não é do SEI, e sim do PHP que roda por baixo.

• TRF1: suspendeu o acesso externo ao SEI.

• Justiça Federal da 4ª Região: interrompeu o acesso externo aos sistemas no Rio Grande do Sul, em Santa Catarina e no Paraná.

• TRF6, em Minas Gerais: suspendeu o expediente e os prazos processuais.

Alemanha, Países Baixos, Bélgica, França e Finlândia também tiraram serviços do ar. Até agora, não há confirmação de invasão: as suspensões foram preventivas. Se o seu site roda em PHP, a regra é simples: atualizar o próprio PHP para 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Atualizar só o WordPress ou os plugins não resolve, porque a falha está na linguagem.

Como hackers usam agentes de IA

O ataque mudou de escala. Em outubro, um pesquisador da NorForge acompanhou um hacker que entregou quase todo o trabalho a agentes de IA: eles tentaram invadir mais de 1.200 sites e comprometeram sites de mais de 100 empresas, gastando cerca de US$ 50 em IA por invasão bem-sucedida.

O caso foi revelado pela Reuters e publicado no Brasil pela TI Inside. Os números que mostram o tamanho da mudança:

Dado	O que o pesquisador viu
Sites atacados	Mais de 1.200, de comércio eletrônico, nos EUA, Canadá, Austrália e Japão
Empresas atingidas	Mais de 100, entre elas Deere, SharkNinja e Cummins
Ferramentas	DeepSeek e Claude Code, coordenados por uma plataforma de código aberto
Custo	Cerca de US$ 5.000 em IA, uns US$ 50 por invasão que deu certo
Tempo	Cerca de 23 horas de varredura por invasão bem-sucedida

O detalhe mais assustador: quando os agentes não acharam falha no site principal de uma empresa grande, eles procuraram nos registros públicos outros endereços ligados a ela, acharam um painel de controle exposto e exploraram uma falha ali. É o trabalho de uma equipe de invasores, feito por máquina, sem descanso, por alguns dólares.

A IA não inventou o ataque. Ela barateou a varredura. Agora vale a pena testar mil sites esquecidos para achar dez abertos.

Por que o site público é alvo fácil

Sites de prefeituras, câmaras, autarquias e órgãos públicos costumam juntar tudo o que um agente de IA procura: software antigo, sistema terceirizado sem atualização, painel administrativo exposto e senha de servidor que já vazou em algum lugar. E, como são muitos, um ataque automático encontra os mais frágeis rápido.

• Sistemas antigos: muito portal público ainda roda versões do PHP sem suporte. Escrevi sobre isso no post PHP 8.2 perde o suporte em 31 de dezembro.

• Fornecedor que sumiu: o site foi feito por uma empresa contratada anos atrás, e ninguém mais atualiza.

• Painel aberto: a área de administração responde para qualquer endereço da internet, sem segundo fator de login.

• Senha vazada: neste ano, uma invasão na Defesa Civil disparou alertas falsos para celulares em sete estados, e um especialista ouvido pela Gazeta do Povo apontou o possível uso de credenciais vazadas de servidores.

Na minha leitura, o problema quase nunca é falta de tecnologia. É falta de alguém responsável por manter, atualizar e vigiar. O post sobre por que o contrato de manutenção vale mais que o projeto fala exatamente disso.

O checklist para proteger o seu site

O que fazer agora, em ordem de urgência, vale para site de prefeitura, de empresa ou de loja. Os três primeiros itens são para esta semana; os outros, para este mês.

1. Inventário: liste todos os sites e sistemas do órgão ou da empresa, inclusive os esquecidos, e a versão do PHP de cada um. É a primeira recomendação do CTIR Gov.

2. Atualize o PHP para uma versão corrigida. Se não der para atualizar agora, avalie tirar o acesso externo do ar até conseguir, como fizeram a Anatel e os tribunais.

3. Feche os painéis: área de administração só com segundo fator de login e, se possível, acessível apenas de endereços conhecidos.

4. Troque senhas de quem saiu e de contas compartilhadas, e confira se alguma credencial do órgão já vazou.

5. Coloque um firewall de aplicação na frente do site, como o da Cloudflare, que barra boa parte da varredura automática.

6. Faça backup fora do servidor e teste a restauração. Backup que nunca foi restaurado não é backup.

7. Ligue alertas de atualização de segurança das dependências e de tentativas de acesso, para saber do problema antes do invasor.

Para quem desenvolve, o post segurança para dev solo tem o roteiro técnico, e o das chaves vazadas no GitHub mostra como revogar credencial exposta.

O que eu fiz no meu site

Na quinta-feira, 23 de outubro, com a onda de ataques, revisei o golber.net. O framework do site, o Next.js, tinha falhas críticas de execução remota já corrigidas em versões novas. Atualizei o Next.js, o Node.js e as outras dependências no mesmo dia, e liguei uma vigilância automática que me avisa no celular quando sai correção de segurança.

Também montei um painel de eventos de segurança, com bloqueio automático de endereços que tentam explorar o site. Conto isso porque é o mesmo trabalho que todo site precisa, e porque a maioria só descobre que estava desatualizada depois da invasão. Aqui a IA ajudou do lado certo: a mesma tecnologia que acha a falha encontrou, em minutos, tudo o que precisava ser atualizado, como mostro no post sobre a IA que pega o erro da IA.

Se o seu site ou o sistema do seu órgão precisa do mesmo cuidado, estes são os serviços que ofereço, com preço fechado:

Serviço	O que entrega	Prazo e preço
Análise de Atualizações	Levanta versões e dependências, verifica falhas conhecidas e fim de suporte, e entrega um plano priorizado de atualização com orçamento	Até 7 dias, R$ 1.900
Diagnóstico de Melhorias	Análise de segurança, desempenho, usabilidade e conversão, com relatório priorizado	Até 7 dias, R$ 990
Suporte Urgente / SOS	Site fora do ar ou sob ataque: diagnóstico, correção e volta ao ar	Início em até 24 horas, R$ 1.490 com 2 horas incluídas

Você escolhe o serviço e contrata pela página de propostas. Para um desenho maior, como a segurança de vários sistemas de um órgão, o caminho é a consultoria técnica.

As apostas do Jev, pelo lado mais provável, vão para o placar de previsões:

Perguntas frequentes

Por que a Anatel e os tribunais tiraram sistemas do ar?

Por duas falhas críticas no PHP, divulgadas em 21 de outubro de 2026, que permitem executar comandos no servidor sem login. A Anatel e tribunais federais suspenderam o acesso externo de forma preventiva até atualizar. Não havia confirmação de invasão.

Meu site em WordPress está em risco?

Se o servidor roda uma versão do PHP sem a correção, sim. Os pesquisadores demonstraram ataques contra WordPress e Drupal. Atualizar só o WordPress e os plugins não resolve: é preciso atualizar o PHP para 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.

Como hackers usam inteligência artificial para invadir sites?

Com agentes de IA que varrem centenas de sites sozinhos, procuram falhas e painéis expostos e tentam explorá-los. Num caso de outubro, agentes tentaram invadir mais de 1.200 sites e comprometeram mais de 100 empresas, a cerca de US$ 50 por invasão bem-sucedida.

Como proteger o site de uma prefeitura ou órgão público?

Faça o inventário dos sistemas, atualize o PHP e os componentes, feche os painéis de administração com segundo fator, troque senhas, coloque um firewall de aplicação, mantenha backup testado e ligue alertas de segurança.

A IA também ajuda a defender?

Sim. As próprias falhas do PHP foram descobertas por pesquisadores com IA, e ferramentas de IA ajudam a achar, em minutos, o que está desatualizado num site. A diferença é ter alguém responsável por agir.

Quanto custa uma análise de segurança do meu site?

No golber.net, a Análise de Atualizações sai por R$ 1.900, em até 7 dias, e o Diagnóstico de Melhorias por R$ 990. Para emergência, o Suporte Urgente começa em até 24 horas, por R$ 1.490 com 2 horas incluídas.