Por que o site está em manutenção? A correção de emergência do PHP explicada

WindowsMaciPhoneAndroidAtualizado

Em 22 de outubro de 2026, o Ministério da Gestão e da Inovação em Serviços Públicos informou que a situação foi comunicada às unidades de tecnologia do governo federal a partir de um alerta do CTIR Gov, e que a orientação inicial foi retirar temporariamente do ar todos os sistemas desenvolvidos em PHP, desabilitando os acessos externos, e depois atualizar o PHP. Tirar um sistema do ar até que ele seja atualizado é um dos motivos pelos quais um site pode mostrar uma página de manutenção. Este guia está atualizado até 23 de outubro de 2026.

Resposta rápida

Depois que duas falhas críticas no PHP foram anunciadas em 21 de outubro de 2026, órgãos de segurança do Brasil, dos Estados Unidos e do Reino Unido pediram que as organizações atualizassem o PHP e, quando não fosse possível, avaliassem medidas como restringir o acesso ou tirar os sistemas do ar. Uma página de manutenção pode significar esse trabalho. Espere, confira os canais oficiais do site e não digite dados em páginas parecidas.

Por que sites entram em manutenção depois de um alerta de segurança?

Porque a correção exige trocar software no servidor, e um servidor que não pode ser corrigido logo pode ficar mais seguro desligado. O PHP é a linguagem em que rodam muitos sites, e o projeto PHP lançou as versões corrigidas em 21 de outubro: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O comunicado dele diz que só a atualização resolve o problema por completo. O nosso guia principal, vulnerabilidade no PHP (PHP2Shell), fala das falhas em si, e o que é PHP explica por que um problema no servidor alcança tantos sites.

Atualizar nem sempre é rápido. A agência japonesa IPA lembra que sistemas sem atualização há muito tempo podem precisar de mudanças no próprio código do site e de novos testes, e que o trabalho pode travar por falta de documentação, ausência de quem cuidava do sistema ou fim do contrato de manutenção. Enquanto isso acontece, a página de manutenção costuma ser o sinal visível.

O que os órgãos oficiais orientaram?

Todos colocaram a atualização em primeiro lugar. A diferença está no que fazer quando ela não pode ser feita na hora.

  • CTIR Gov (Brasil). No Alerta 93/2026, de 21 de outubro, o centro de resposta a incidentes do governo federal recomenda que as instituições identifiquem os sistemas que usam PHP, verifiquem as versões e apliquem imediatamente as atualizações de segurança. Se isso não for viável, sugere avaliar medidas temporárias, como restringir o acesso às aplicações expostas à internet, e ressalta que essas medidas não substituem a correção.
  • Ministério da Gestão (Brasil). Na nota de 22 de outubro, conta que o primeiro passo foi retirar temporariamente do ar os sistemas federais desenvolvidos em PHP e o segundo, atualizar o PHP com a correção. Diz que os sites do governo usam outra tecnologia e que o funcionamento deles não foi afetado, e que a plataforma GOV.BR também funciona normalmente.
  • CISA (Estados Unidos). Pede a aplicação imediata da correção. Quem não puder atualizar logo, ou usar o PHP 8.1 ou anterior, deve tirar os sistemas baseados em PHP do ar até que sejam corrigidos ou atualizados.
  • NCSC (Reino Unido). Pede que as organizações atualizem o PHP, começando pelos sistemas expostos à internet. Se não puderem, indica as medidas temporárias publicadas pela PHP Foundation. Se nem isso for possível, diz que a organização deve considerar tirar o sistema do ar até que ele possa ser totalmente mitigado.

O que fazer se um site que você usa está em manutenção?

Na maioria das vezes, esperar. A correção é trabalho de quem cuida do site, e nada que você instale no seu celular ou computador conserta o servidor de um site.

  1. Procure notícias nos canais oficiais do site, como os perfis verificados nas redes sociais, o app que você já usa ou um e-mail que você já esperava receber.
  2. Se precisar falar com a empresa, use um contato oficial ou que você já conhece. É o que a Cartilha de Segurança para Internet, do CERT.br, recomenda para confirmar qualquer história.
  3. Volte ao site digitando o endereço no navegador ou pelo seu próprio favorito, não por um link que alguém mandou.

Preciso ter cuidado com páginas falsas enquanto o site está fora do ar?

Sim. A Cartilha avisa que golpistas criam páginas e apps falsos que imitam organizações conhecidas, e que aproveitam temas em alta para atrair vítimas. Uma mensagem dizendo que um site que você usa mudou de endereço, ou pedindo que você entre em outro lugar "durante a manutenção", merece desconfiança.

Não digite senha, número de cartão ou dados pessoais numa página que você abriu a partir de um e-mail, SMS ou anúncio inesperado. Se já fez isso, o guia sobre e-mails falsos de atualização de segurança mostra os próximos passos.

"Em manutenção" quer dizer que o site foi invadido?

Não necessariamente. Uma página de manutenção diz que o site está indisponível, não por quê. As orientações acima pedem que as organizações tirem do ar os sistemas que não conseguem atualizar, então a manutenção pode simplesmente significar que o trabalho está em andamento. Na nota do Ministério da Gestão, por exemplo, o SEI aparece como um dos sistemas impactados e foi retirado do ar preventivamente, conforme a orientação. Durante a inatividade temporária do SEI, segundo a nota, os documentos urgentes que precisam tramitar fora do órgão estão sendo assinados via GOV.BR e enviados por e-mail.

Se uma empresa descobrir que dados pessoais de clientes foram afetados, isso é outro assunto, com passos próprios. O guia meus dados pessoais estão em risco com a vulnerabilidade do PHP? explica como você normalmente ficaria sabendo.

Por que está demorando para voltar?

Alguns responsáveis conseguem atualizar logo, e outros não. A nota do Ministério da Gestão diz que as equipes de segurança do governo federal estão avaliando os efeitos da correção em todos os sistemas afetados e trabalhando para garantir a atualização e a disponibilidade de todos eles.

O alerta da IPA descreve os casos mais difíceis: sistemas antigos em que atualizar o PHP exige refazer e testar partes do site, e organizações que precisam garantir pessoas, orçamento e manutenção. Para quem não tiver como garantir isso, a IPA sugere considerar a migração para um produto ou serviço com suporte, a redução das funções oferecidas ou até o fim da publicação. Por isso, alguns sites podem voltar diferentes, e alguns podem não voltar.

Mais perguntas

É seguro visitar um site que voltou da manutenção?

As falhas do PHP estão no software do servidor, não no seu aparelho. Para a pergunta mais ampla, o guia visitar um site hackeado é perigoso? explica o que um site comprometido poderia fazer a quem o visita e no que prestar atenção.

Alguém já explorou as falhas do PHP?

Em 23 de outubro de 2026, o alerta da CISA de 21 de outubro, revisado em 23 de outubro, diz que ela não observou exploração bem-sucedida dessas vulnerabilidades em ambiente real até o momento da publicação, e o alerta do CTIR Gov não relata exploração ativa. Em 23 de outubro de 2026, nenhum dos alertas oficiais usados neste guia informa um número de sites afetados.

O que é "manutenção emergencial"?

A expressão não aparece no comunicado do projeto PHP; é a forma como o próprio site descreve o trabalho. O que o CTIR Gov, a CISA e o NCSC descrevem é atualizar o software, ou restringir o acesso e tirar o sistema do ar até que ele possa ser atualizado.

Por que a manutenção do PHP afeta tantos sites diferentes?

Porque muitos sites rodam no mesmo software. O NCSC britânico diz que as organizações que usam qualquer versão do PHP são afetadas, e a CISA observa que o PHP costuma fazer parte de outros softwares, então até sites que não citam o PHP podem precisar de manutenção.

Devo trocar a senha de um site que saiu do ar?

Nenhum dos alertas oficiais citados aqui pede isso só porque um site saiu do ar. Se a empresa avisar que houve um problema com a sua conta, siga as instruções dela pelos canais oficiais.

Fontes