Respira. Tem sido uma semana difícil, mais ou menos, para as equipas de segurança e de desenvolvimento em todo o lado. Não estás sozinho.
As revelações tiveram um impacto forte, mas não surgiram do nada. Em agosto, o vice-CISO da Anthropic, Jason Clinton, afirmou que se aproximava um «tsunami» de vulnerabilidades nos meses seguintes. E, como era de esperar, em outubro, surgiram o PHP2Shell — duas falhas críticas de execução remota de código no PHP — e o HTTP2Shell, uma falha na biblioteca de compressão Brotli (Broccoli2Shell?!). A previsão acabou por se revelar correta.
As pessoas estão a chamar-lhe «Outubro Negro», um nome que parece exagerar os danos causados até agora, uma vez que ainda não foram relatados casos de comprometimento em massa. Mas Clinton afirma agora que as coisas vão piorar bastante antes de melhorarem e que precisamos de aguentar durante cerca de 18 meses (seja lá o que isso for).
Apertem os cintos.
CloudflareO CEO da [nome da empresa], Matthew Prince, tem uma previsão semelhante. Ele considera que «vamos passar por alguns anos em que, todas as semanas, vamos ter a sensação de que o céu está a cair». Não é propriamente música para os ouvidos dos profissionais de segurança, mas pensamos que deveria haver mais otimismo e que, a longo prazo, os defensores sairão vencedores, assunto ao qual voltaremos mais adiante.
Por que é que as coisas pioram antes de melhorarem
Clinton tinha alertado que não haveria tempo suficiente para corrigir as infraestruturas críticas. O seu conselho foi dirigir-se ao conselho de administração e pedir ajuda com os aspetos básicos, o que, segundo ele, não tinha nada a ver com IA. Esses aspetos básicos, tal como descrevemos na nossa cobertura do alarmismo exagerado em torno do «Mythos», consistem, na prática, em saber o que se gere e ser capaz de implementar uma correção rapidamente.
Para perceber por que razão a situação se agrava entretanto, basta ver como ocorreu o caso do PHP2Shell. O bug de falta de memória que esteve na origem do problema tinha sido detetado numa auditoria de 2024 e permaneceu por corrigir, porque ninguém tinha demonstrado que pudesse ser explorado. No ano passado, os investigadores conseguiram fazê-lo.
«É um salto gigantesco passar de “Tenho um comportamento estranho e inesperado, talvez que faça com que um worker falhe momentaneamente” para o que acabou por acontecer, que é a execução remota de código sem autenticação», afirma Mackenzie Jackson, Diretor Técnico de Campo da Aikido.
«O papel que a IA desempenhou foi pegar nesta ideia primitiva e transformá-la numa prova de conceito completa para a execução remota de código.»
Esse tipo de comportamento inexplicável está presente nas linguagens, nos ambientes de execução e nas bibliotecas em que a maior parte do software é desenvolvido, incluindo o PHP e o Brotli. Até agora, ninguém teve tempo para investigar estes aspetos. A IA pode agora reduzir o esforço necessário para o fazer, identificando quais destes comportamentos conduzem a uma exploração real. É uma combinação de velocidade, persistência e capacidade de encadear falhas que torna a IA tão útil para os atacantes.
Por que razão os defensores saem a ganhar
Desde que o Mythos passou a fazer parte da agenda de segurança, as equipas de segurança têm sido instadas a aumentar cada vez mais a rapidez e a automatização das medidas de correção e resposta. Corrigir rapidamente é uma das melhores formas de se defender. Mas isso é apenas parte da equação.
Esta semana, Anton Chuvakin, antigo conselheiro de segurança da Google, defendeu que os defensores devem recusar a corrida pela velocidade e concentrar-se nas invariantes: regras que o sistema impõe independentemente das circunstâncias. O especialista em cibersegurança Phil Venables respondeu:
«Concordo plenamente que, se a única resposta a atacantes rápidos for uma defesa reativa rápida, estás perdido. As invariantes (ou seja, uma arquitetura de segurança defensiva robusta aplicada de forma consistente) são vitais. Mas também há espaço para uma resposta rápida.»
Ambos têm razão. Uma boa arquitetura limita os danos quando uma falha é explorada, mas não consegue eliminar a falha. As falhas da semana passada ocorreram no PHP e no Brotli, pelo que uma equipa com uma arquitetura própria impecável ainda as tinha na sua pilha. É aí que uma resposta mais rápida à correção se torna mais crucial.
Mas é a combinação entre a arquitetura e a resposta rápida que dará vantagem às equipas de segurança. Todos falam de «os defensores utilizarem os mesmos modelos que os atacantes» para o fazer, e isso faz parte da solução. Mas é a forma como se integra a IA no ciclo de vida do desenvolvimento de software que faz a diferença.
Na prática, o trabalho começa pela visibilidade. Só é possível corrigir o que se consegue ver, e o PHP surgiu em locais onde as equipas não esperavam, como imagens base d container , imagens de CI, painéis de alojamento e software de fornecedores. Saber o que se executa, incluindo o que não se instalou, é o que permite perceber rapidamente se uma falha de segurança nos afeta.
A partir daí, o objetivo é integrar a segurança numa fase mais precoce e garantir que as correções sejam rápidas. Isso significa verificar o código à medida que é escrito, realizar testes de penetração na vossa aplicação e na vossa rede externa com IA antes do lançamento e novamente sempre que houver alterações, e garantir que cada problema detetado resulte numa correção que possa ser revista por uma pessoa. Quando ainda não houver uma atualização disponível, ou se uma atualização puder causar falhas, mantenham a versão que estão a utilizar e incorporem a correção nessa versão. As equipas que seguem esta abordagem têm menos correções a fazer quando surge a próxima vulnerabilidade, e as correções necessárias são implementadas mais rapidamente.
Os defensores também possuem algo de que os atacantes carecem: o conhecimento das medidas de segurança que têm implementadas.
«As pessoas dizem sempre que o defensor tem de estar sempre certo, mas o atacante só precisa de estar certo uma vez. E isso torna muito difícil ser um defensor. Não é totalmente verdade. Na verdade, os atacantes nem sempre têm conhecimento das nossas múltiplas camadas de defesa e da forma como implementamos a defesa em profundidade», afirmou Willem Delbare, CEO da Aikido, na semana passada, a propósito das vulnerabilidades.
«Acho que, neste momento, os defesas ainda têm a vantagem. É claro que é preciso dar o máximo», continuou ele.
Depois de amanhã
«Somos certamente capazes de sobreviver a esta situação. Tudo depende de conseguirmos ou não aprender com os nossos erros». — Jack Hall, *O Dia Depois de Amanhã*.
A situação a curto prazo pode ser difícil, mas pensamos que os defensores acabarão por sair a ganhar. Foram lançadas correções para as versões de PHP suportadas, muitos dos sites que precisavam de ficar fora de linha fizeram-no e não foi confirmada (ainda) qualquer violação em massa. Todas as equipas devem saber onde têm lentidões e onde existem lacunas, e aquelas que as corrigirem sairão a ganhar.
