a história do dia
A falha de 14 anos achada por IA que suspendeu o acesso ao SEI
Governo federal mandou suspender sistemas em PHP; a primeira onda de tentativas veio em 45 minutos.
Na quarta, Anatel, TRF1 e TRF4 suspenderam o acesso externo ao SEI; o TRF6 suspendeu o acesso ao SEI e ao processo judicial eletrônico. O Ministério da Gestão e da Inovação mandou os órgãos federais retirarem temporariamente do ar todos os sistemas feitos em PHP.
O problema vai além de Brasília. Duas falhas críticas apelidadas de php2shell permitem assumir o servidor sem login. Segundo Greg Brockman, uma falha estava no PHP havia 14 anos. Pesquisadores da Calif e da OpenAI encontraram as falhas em agosto usando IA:
- 70% dos sites usam PHP, segundo levantamento da Wiz, cerca de sete em cada dez sites
- 22,6 milhões de instalações potencialmente vulneráveis, na conta inicial da Palo Alto Networks
- 45 minutos depois de a notícia se espalhar bastaram para a Cloudflare registrar dezenas de milhares de tentativas de exploração, menos que uma reunião de uma hora
- 9.2 é a nota de gravidade das duas vulnerabilidades, segundo o php.net
A leitura
A IA encurtou o tempo dos dois lados do balcão. O defeito resistiu mais de uma década: encontrar e explorar a brecha era complexo demais sem IA, segundo a Wiz. Depois que a notícia se espalhou, a primeira onda de tentativas bateu nos sensores em 45 minutos. O conserto depende de quem administra o servidor, e a maioria das empresas não sabe quem é.
O porém
Tentativa não é invasão, lembra Marcelo Branquinho, da TI Safe. A Wiz descreveu a exploração como uma cadeia complexa de passos. As suspensões no Brasil foram preventivas e, segundo O Globo, não significam que o governo sofreu ataque. Além disso, a fatia de 70% é estimativa da própria Wiz, que vende segurança.
O que fazer com isso
Mande hoje uma mensagem ao suporte da hospedagem ou à agência do site com a pergunta: "qual é a versão exata do PHP do nosso servidor?". A resposta certa precisa ter três números e ser igual ou maior que 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Se vier apenas "8.3" ou citarem a versão 8.1, peça a data da migração.
O PHP foi a primeira linguagem de programação de Greg Brockman, presidente da OpenAI, que ajudou a achar a falha.
Fonte: g1.globo.com ↗ · declarado pela fonte
