Falha no PHP tirou portais da transparência do ar: o que prefeituras e câmaras devem cobrar do fornecedor do site

Em 21 de outubro, o projeto PHP publicou correções de emergência para duas falhas críticas, registradas como CVE-2026-109618 e CVE-2026-109619 e apelidadas de PHP2Shell. Segundo o portal especializado The Hacker News, as duas falhas receberam nota 9,2 de gravidade e permitem que um invasor execute código no servidor sem precisar de login. O PHP é a linguagem que sustenta boa parte dos sites do país, incluindo WordPress, Drupal, Joomla e muitos portais públicos.

A reação no setor público foi imediata. Conforme publicado pelo jornal O Tempo, o TRF-1, o TRF-4 e o TRF-6 suspenderam o acesso a sistemas, e a Anatel informou que a indisponibilidade do SEI estava ligada à vulnerabilidade. No Recife, a prefeitura tirou do ar o Portal da Transparência, o Portal de Compras, o Diário Oficial do Município e outros serviços digitais no dia 22, como medida preventiva.

O que aconteceu no Recife

De acordo com a CBN Recife, a prefeitura informou que a suspensão seguia recomendações de órgãos federais de segurança cibernética e que não havia previsão de retorno nem forma alternativa de acesso. Cinco dias depois, o tema chegou ao plenário. Conforme noticiado pela Câmara Municipal do Recife, vereadores de oposição cobraram o restabelecimento do portal e prometeram acionar os órgãos de controle para fiscalizar a paralisação. O Portal da Transparência só voltou a funcionar no fim do mês, segundo o Blog do Jamildo, em matéria de 31 de outubro.

A decisão de desligar foi defensável: um servidor sem correção, com uma falha desse tipo, coloca em risco os dados dos cidadãos. O problema é o tempo fora do ar. Durante mais de uma semana, ninguém conseguiu consultar despesas, licitações ou atos oficiais da cidade.

Por que isso importa para a sua prefeitura ou câmara

A Lei de Acesso à Informação obriga a divulgação de informações de interesse público em sites oficiais, e a Lei de Responsabilidade Fiscal exige a liberação, em tempo real, de dados da execução orçamentária e financeira. Portal fora do ar não cumpre nenhuma das duas. Além disso, o próprio alerta mostrou como o risco é amplo: o jornal O Tempo cita levantamento da Censys segundo o qual cerca de 1,5 milhão de 2,6 milhões de servidores identificados usavam versões do PHP ainda sem correção disponível.

O CTIR Gov, centro de tratamento de incidentes do governo federal, recomendou que as instituições identifiquem os sistemas que usam PHP, verifiquem as versões instaladas e apliquem as atualizações. Para quem não tem equipe técnica própria, isso depende do fornecedor do portal.

Quais versões foram corrigidas

Segundo o The Hacker News, as correções saíram nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O PHP 8.1 e as versões anteriores não recebem mais atualizações oficiais; para 7.4, 8.0 e 8.1 foram divulgados apenas ajustes de código-fonte. Na prática, quem ainda roda um portal em versão antiga do PHP está mais exposto e depende de uma atualização maior.

O que cobrar do fornecedor do portal

O episódio é um bom momento para revisar o contrato e a rotina do site. Alguns pontos que a prefeitura ou a câmara pode pedir por escrito:

• Versão do PHP e do servidor: qual versão roda hoje o portal e se as correções de outubro já foram aplicadas.
• Prazo de correção: em quanto tempo o fornecedor aplica atualizações de segurança críticas depois de publicadas.
• Plano de contingência: como o portal continua no ar, ou volta rapidamente, se for preciso isolar o servidor.
• Aviso de indisponibilidade: uma página informando o motivo e a previsão de retorno, em vez de um erro sem explicação.
• Cópias de segurança: com que frequência são feitas e onde ficam guardadas.
• Registro do incidente: relatório do que foi feito, útil para responder ao controle interno, à câmara ou ao Tribunal de Contas.

Na hora de renovar ou licitar o portal, vale levar esses itens para o termo de referência como obrigações de manutenção, com prazos definidos.

Como a DEC pode ajudar

A DEC Soluções Digitais desenvolve e mantém portais de transparência para prefeituras, câmaras, consórcios e institutos de previdência desde 2013, com atualização de servidores incluída na manutenção. Se a sua instituição quer saber em que versão o portal está ou revisar o que o contrato atual prevê, nossa equipe pode fazer essa conversa com o seu setor de TI ou de compras.

Fontes

• The Hacker News, 21/10/2026: PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge
• O Tempo, 22/10/2026: Falha de segurança faz governos e tribunais no Brasil tirarem sites do ar
• CBN Recife, 22/10/2026: Recife suspende serviços digitais após alerta global de segurança cibernética
• Câmara Municipal do Recife, 27/10/2026: Fora do ar, Portal da Transparência da Prefeitura do Recife causa debate entre vereadores
• Blog do Jamildo, 31/10/2026: Portal da Transparência do Recife volta a funcionar após críticas da oposição