PHP e Node.js corrigem falhas críticas; IA acelera descobertas

Duas falhas de segurança críticas, ambas com nota 9,2 de severidade, foram corrigidas no PHP e no Node.js, softwares que sustentam uma vasta parcela da internet. As vulnerabilidades, que permitiam a execução remota de código sem a necessidade de login, estavam presentes no interpretador do PHP há mais de uma década e foram descobertas com o auxílio de inteligência artificial (IA). O Node.js também corrigiu uma falha de alta gravidade no mesmo dia.

A descoberta acelerada de falhas, impulsionada pela IA, tem reduzido a barreira de exploração. Modelos de IA não apenas ajudaram a encontrar as vulnerabilidades, mas também a adaptar ataques em poucas horas para plataformas populares como WordPress, Drupal e Joomla. O programa Patch the Planet, da OpenAI em parceria com a Trail of Bits, já registrou milhares de problemas encontrados e centenas de correções propostas em projetos open source.

O impacto e a corrida contra o tempo

O PHP é estimado pela Wiz como o interpretador por trás de cerca de 70% dos sites globais, incluindo sistemas como WordPress, Joomla, Drupal e MediaWiki. A vulnerabilidade, que estava no código base há mais de dez anos, expôs milhões de instâncias. Relatos indicam que, mesmo antes do embargo de segurança ser totalmente levantado, já havia tentativas de ataque.

A agilidade na correção é crucial, mas o processo de atualização em ambientes corporativos é frequentemente lento. Em sistemas com containers, a atualização do PHP ou Node.js exige o rebuild da imagem, publicação e redeploy, um processo que pode levar tempo e competir com outras prioridades de entrega. A falta de um mapeamento completo de onde esses softwares estão instalados dificulta ainda mais a tarefa.

O que as empresas podem fazer

Para mitigar riscos, especialistas como Diogo Goebel, CEO da Getup, recomendam a redução da superfície de ataque, mantendo apenas os pacotes essenciais em produção. Imagens de software mais enxutas, como as desenvolvidas pela Getup, possuem metade dos pacotes de versões públicas, diminuindo o número de itens a serem corrigidos às pressas.

Outra medida importante é atribuir responsabilidade pelo acompanhamento de avisos de segurança de runtimes e bibliotecas, disparando o processo de atualização sem depender de ciclos de desenvolvimento (sprints). A capacidade de provar o que está rodando em produção, através de inventário de software (SBOM) e imagens assinadas, permite que empresas identifiquem em minutos se versões vulneráveis ainda estão em uso, agilizando a resposta a incidentes.

Para instituições financeiras, a conformidade com regulamentações como a BCB 538 e a CMN 5.274 já exige essa rastreabilidade e responsabilidade sobre componentes open source, mesmo que não contratados formalmente. A próxima falha crítica pode já estar em algum componente em produção, esperando ser descoberta e explorada.