Paraguai: Justiça Eleitoral suspende sites por PHP

A Justiça Eleitoral do Paraguai suspendeu de forma preventiva seus sites após um alerta do CERT-PY relacionado a duas vulnerabilidades em PHP, identificadas como CVE-2026-109618 e CVE-2026-109619. Em paralelo, o órgão de resposta paraguaio também alertou sobre o roubo de contas de WhatsApp por meio do acesso à caixa postal para obter o código de verificação, e recomendou ativar a verificação em duas etapas, trocar a senha padrão ou desativar esse serviço.

O que aconteceu com os sites da Justiça Eleitoral?

A suspensão preventiva ocorreu por causa do aviso do CERT-PY sobre duas falhas em PHP que afetam sistemas expostos. As informações disponíveis atribuem o caso ao jornal La Tribuna, que informou que as vulnerabilidades foram divulgadas em 20 de outubro de 2026 e que a equipe do PHP publicou correções de emergência em 21 de outubro.

A mesma cobertura descreveu as falhas como problemas de execução remota de código, embora nesse momento não houvesse confirmação independente de exploração ativa. Depois, a CISA incluiu ambos os CVEs no catálogo Known Exploited Vulnerabilities, o que traz confirmação oficial de que estavam sendo explorados ativamente, embora sem vincular essa exploração a sistemas paraguaios.

O que dizem os relatórios técnicos sobre as falhas?

A Unit 42, da Palo Alto Networks, descreveu CVE-2026-109618 e CVE-2026-109619 como vulnerabilidades críticas de execução remota de código sem autenticação, com nota CVSS 9,2. Segundo essa análise, a CVE-2026-109618 está relacionada à memória não inicializada após erros de falta de memória, enquanto a CVE-2026-109619 envolve referências de estado global a memória liberada.

A AWS acrescentou que um invasor remoto sem autenticação pode enviar requisições web preparadas para executar código arbitrário, ler dados acessíveis ao processo ou provocar uma negação de serviço em workers PHP afetados. Já a Z-CERT recomendou instalar com urgência as atualizações do PHP e, se isso não fosse possível de imediato, avaliar a retirada temporária da internet dos sistemas afetados.

O que o CERT-PY recomendou diante do roubo de contas de WhatsApp?

O CERT-PY alertou que, no Paraguai, contas de WhatsApp estavam sendo roubadas por meio do acesso à caixa postal para obter o código de verificação de seis dígitos. A recomendação oficial foi ativar a verificação em duas etapas, alterar a senha padrão da caixa postal ou desativar a caixa.

O aviso se concentrou nesse mecanismo de recuperação de códigos, que permite a apropriação da conta por terceiros se eles conseguirem ouvir ou interceptar a mensagem de voz. O alerta foi divulgado em 27 de outubro de 2026, em um momento em que já circulavam avisos separados sobre as vulnerabilidades de PHP e sobre a pressão operacional nos ambientes expostos.