Numa quarta-feira de outubro, uma falha de segurança numa linguagem de programação que sustenta boa parte da internet deixou sites e serviços públicos fora do ar em diversos países, e o Brasil não ficou de fora. O SEI, sistema que o governo federal usa para gerir seus processos administrativos, foi retirado do ar por quase dez horas como medida preventiva. Trata-se de um lembrete de que a vida pública se apoia em alicerces que quase ninguém vê, e de que a segurança de todos depende da rapidez com que esses alicerces são consertados.
Falha no PHP derruba sites pelo mundo e obriga governo brasileiro a tirar sistemas do ar
Quase dez horas fora do ar, sem registro de invasão
Mark
Por que um erro numa linguagem de programação derruba tanta coisa ao mesmo tempo?
Mimi
Porque o PHP está por trás de cerca de 70% dos sites do mundo, incluindo o WordPress. Uma falha ali se espalha por governos, jornais, bancos e empresas.
Mark
E no Brasil, o que foi afetado?
Mimi
O SEI, sistema federal de processos e documentos. A Anatel o tirou do ar das 12h15 às 22h05 de quarta-feira. O GOV.BR, segundo o Ministério, não foi afetado.
Luke
Houve invasão no Brasil? A reportagem fala em medida preventiva.
Mimi
A Anatel diz que não houve registro de invasão. É a declaração da própria agência, e o Ministério ainda avalia a dimensão da falha.
Mark
O que a falha permitia?
Mimi
Segundo a reportagem, invasores poderiam acessar sites e ler a memória deles, inclusive senhas e dados confidenciais.
Luke
Os milhões de tentativas de invasão vêm de onde?
Mimi
Da Reuters, que cita uma empresa de computação em nuvem. Não há detalhes sobre quantas tiveram sucesso.
Luke
E a fala sobre dados de cartão em risco?
Mimi
É uma avaliação de Nigel Green, da deVere Group, sobre o que poderia acontecer. Ela diz que a exposição poderia alcançar muitos lugares, não que tenha ocorrido.
Mark
Qual o próximo passo?
Mimi
Atualizar os sistemas PHP para a versão corrigida, publicada pela Fundação PHP na quarta-feira.
El Pulso
- Uma vulnerabilidade batizada de PHP2Shell expôs sites a invasões e à leitura de memória, com risco de vazamento de senhas e dados confidenciais.
- No Brasil, o SEI parou das 12h15 às 22h05 de quarta-feira, enquanto o governo retirava de operação todos os sistemas feitos em PHP.
- No Reino Unido, quase trinta serviços públicos ficaram indisponíveis e outros quatro operaram apenas parcialmente, e no Japão bancos e companhias suspenderam páginas.
- A correção já foi publicada pela Fundação PHP, mas governos e empresas correm para aplicá-la, e os órgãos brasileiros ainda medem o tamanho do estrago.
Numa quarta-feira de outubro, uma falha de segurança numa linguagem de programação que sustenta boa parte da internet deixou sites e serviços públicos fora do ar em diversos países, e o Brasil não ficou de fora. O SEI, sistema que o governo federal usa para gerir seus processos administrativos, foi retirado do ar por quase dez horas como medida preventiva. Trata-se de um lembrete de que a vida pública se apoia em alicerces que quase ninguém vê, e de que a segurança de todos depende da rapidez com que esses alicerces são consertados.
Às 12h15 de quarta-feira (21), o SEI da Anatel saiu do ar. O sistema, usado pelo governo federal para produzir e gerir documentos e processos administrativos, só voltou às 22h05. Quase dez horas sem funcionar, por causa de uma falha de segurança na linguagem PHP, que alimenta cerca de 70% dos sites do mundo, incluindo o WordPress.
As falhas, batizadas de PHP2Shell, permitiriam que invasores acessassem sites e lessem a memória deles, com acesso potencial a senhas e informações confidenciais. Uma empresa de computação em nuvem identificou milhões de tentativas de exploração.
No Brasil, o Ministério da Gestão e da Inovação em Serviços Públicos orientou, pelo Ctir.Gov, a retirada temporária de todos os sistemas em PHP do governo federal. O GOV.BR não foi afetado, e a Anatel afirmou que a medida foi preventiva e que não houve invasão. Depois da correção, o SEI voltou a operar normalmente, e as equipes de segurança seguem avaliando o alcance da falha.
A Fundação PHP publicou a correção na quarta-feira, e pelo mundo as operadoras correram para atualizar seus sistemas. No Reino Unido, quase trinta serviços do governo ficaram indisponíveis. Na Irlanda, o The Journal saiu do ar, e sites governamentais de vários países europeus foram desativados por algum tempo. No Japão, a primeira-ministra pediu que empresas considerassem suspender serviços, e a ANA, a JR West e o MUFG suspenderam partes de suas operações.
As falhas foram descobertas por equipes da OpenAI, da Wiz e da Calif. Especialistas lembram que a exposição alcança qualquer lugar onde se gasta dinheiro online, inclusive portais públicos que guardam dados de cartão. Agora, a tarefa é aplicar a correção sem demora.
Às 12h15 de quarta-feira (21), horário de Brasília, o SEI da Anatel saiu do ar. O Sistema Eletrônico de Informações, usado pelo governo federal para produzir e gerir documentos e processos administrativos, só voltou a funcionar às 22h05. Foram quase dez horas de interrupção, causadas por uma falha de segurança na linguagem de programação PHP, que derrubou sites e plataformas em vários países.
O PHP alimenta cerca de 70% dos sites do mundo, incluindo o WordPress, publicador e gerenciador de sites. Por isso, a vulnerabilidade tinha alcance enorme. As falhas, batizadas de PHP2Shell, poderiam permitir que invasores acessassem sites e lessem a memória contida neles, o que inclui informações confidenciais e senhas. Segundo a Reuters, uma empresa de computação em nuvem identificou milhões de tentativas de invasão explorando o problema.
No Brasil, o Ministério da Gestão e da Inovação em Serviços Públicos confirmou ter emitido um alerta a todas as unidades de tecnologia do governo federal, por meio do Ctir.Gov, o Centro de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos do Governo Federal. A orientação foi retirar temporariamente do ar todos os sistemas desenvolvidos em PHP e desabilitar qualquer acesso externo. O SEI foi um dos atingidos. Para demandas urgentes de documentos, o Ministério indicou o GOV.BR ou o e-mail. O próprio GOV.BR, segundo a pasta, não foi afetado.
A Anatel disse à CNN Brasil que a retirada do SEI foi "estritamente preventiva e alinhada a recomendações internacionais" e que não houve registro de invasão. Depois da correção, o sistema da agência voltou a operar normalmente. O Ministério afirmou que as equipes de segurança cibernética do governo avaliam os efeitos da correção em todos os sistemas afetados e trabalham para garantir sua atualização e disponibilidade. A pasta ainda avalia a dimensão da falha e orientou a atualização dos sistemas PHP para a versão corrigida.
A Fundação PHP, responsável pela linguagem, publicou na quarta-feira uma correção para os bugs e recomendou que os operadores de sites a aplicassem imediatamente. Em todo o mundo, operadoras de plataformas digitais correram para atualizar seus sistemas.
No Reino Unido, a ministra Elizabeth Lloyd disse na quinta-feira, na Câmara dos Lordes, que quase três dezenas de serviços do governo ficaram indisponíveis e quatro, "parcialmente indisponíveis", durante as atualizações. Na Irlanda, o The Journal, segundo site de notícias mais popular do país, saiu do ar. Sites governamentais de França, Dinamarca, Finlândia e Holanda, entre eles o da agência holandesa de cibersegurança, foram desativados temporariamente. O primeiro-ministro holandês, Rob Jetten, disse que seu gabinete monitorava de perto a situação.
No Japão, a primeira-ministra Sanae Takaichi afirmou que as empresas devem considerar suspender serviços, se necessário, para reduzir a exposição. A companhia aérea ANA, a operadora ferroviária JR West e o maior banco do país, o MUFG, relataram a suspensão temporária de algumas páginas e serviços. A Agência de Segurança Nacional dos Estados Unidos e a agência europeia de cibersegurança aconselharam as empresas a agir de imediato.
As falhas foram descobertas por equipes da OpenAI, da Wiz (empresa de cibersegurança pertencente ao Google) e da Calif, também do setor de cibersegurança. Nigel Green, CEO da consultoria financeira deVere Group, disse à CNN Internacional que a exposição poderia alcançar praticamente todos os lugares em que as pessoas gastam dinheiro online, de reservas e marketplaces a portais de serviços públicos, que podem guardar dados de cartão em sistemas com o mesmo tipo de código.
Agora, o foco está na aplicação da correção. Governos e empresas são orientados a atualizar seus sistemas PHP sem demora, e os órgãos brasileiros ainda medem o alcance do problema.
Citas Notables
A medida foi estritamente preventiva e alinhada a recomendações internacionais, e não houve registros de invasão.— Anatel, à CNN Brasil
O gabinete monitora de perto a situação em torno das vulnerabilidades do PHP.— Rob Jetten, primeiro-ministro da Holanda
Quieres la nota completa?
Lee el original en CNN Brasil ↗
General News