Uma IA escreveu o ataque em menos de uma hora. Quanto tempo demora o seu servidor a ter a correção?

A falha está na parte do Linux que aceita ligações novas, antes de o programa por trás ver qualquer coisa. Não é preciso palavra-passe nem que alguém clique: basta o servidor ter algo aberto à internet, como um site, o email ou um acesso remoto.

Foi encontrada por um investigador da Anthropic, a empresa da IA Claude, e a correção entrou no Linux no início de outubro. A 27 de outubro, a Anthropic contou que um modelo seu, ainda por lançar, tinha escrito um ataque que dava o controlo total de um servidor em menos de uma hora. Não publicou esse ataque e ninguém o conseguiu reproduzir de forma independente, por isso tomo-o pelo que é: um aviso.

O que muda

Até agora, entre se conhecer uma falha e aparecer um ataque que funcionasse costumavam passar semanas. Se uma IA o faz numa hora, o que conta é o tempo que o seu servidor demora a ter a correção instalada.

E esses prazos não dependem de si, mas de quem faz o seu Linux. Com a mesma correção publicada, a Oracle lançou a sua no dia seguinte ao aviso e o Debian em menos de uma semana. A Red Hat demorou 17 dias: primeiro classificou a falha como moderada e só a subiu para crítica depois do anúncio da Anthropic.

O Ubuntu, dos mais usados em servidores, corrigiu primeiro a versão de suporte curto. A 3 de novembro, ao fim de 19 dias, as versões de longo prazo, que são as que quase todos os servidores usam, continuavam em testes. E nos NAS e routers, que também usam Linux, não encontrei aviso nem da Synology nem da QNAP.

Nesse mesmo 3 de novembro revi os servidores que gerimos. Um já estava corrigido, porque a sua distribuição tinha lançado a correção poucos dias depois. Os outros usam Ubuntu e continuam à espera da sua, por isso, entretanto, bloqueámos o tipo de ligação que esta falha usa e desligámos a função por onde entra o ataque. Assim que a correção sair, é instalada e os servidores são reiniciados.

Três perguntas para quem gere o seu servidor

1. O que temos com Linux? O site, o servidor do escritório, o NAS das cópias, o router ou a central telefónica.
2. Quando foi instalada a última correção do núcleo, e o equipamento foi reiniciado depois? Sem reiniciar, a correção não serve.
3. O que está aberto à internet sem ser preciso? O que não está aberto não pode ser atacado de fora.

Se a resposta à segunda for «não sei», já tem a resposta.