Com apelidos provocantes (Heartbleed, alguém?), logotipos estilosos e nomes de domínio brilhantes, essas superbactérias podem dominar as manchetes de tecnologia e por boas razões. Os riscos que eles criam podem afetar a segurança cibernética de todos, de indivíduos a corporações.

Mas a cobertura da vulnerabilidade mais recente no OpenSSL, divulgada há alguns dias, é um pouco diferente: ninguém sabe ainda qual é a vulnerabilidade. Apenas a presença de um bug foi anunciada, e tudo o que foi dito é que o bug é classificado como “crítico” – o pior tipo possível.

A equipe do projeto OpenSSL notificou que todos devem se preparar para um novo anúncio em 1º de novembro, quando os detalhes da vulnerabilidade (e esperançosamente correções) serão revelados.

Essa abordagem de alerta precoce é incomum, mas foi formulada em resposta à forma como a vulnerabilidade Heartbleed do OpenSSL foi tratada em 2014. Um dos maiores desafios ao lidar com o Heartbleed foi que, uma vez que o bug foi anunciado, os invasores conseguiram explorá-lo antes que as pessoas pudessem para corrigir seus sistemas contra ele. 

A ideia com o bug do OpenSSL agora é garantir que as pessoas afetadas pelo problema estejam cientes da situação e estejam prontas para aplicar quaisquer correções imediatamente após serem anunciadas. Isso é realmente uma coisa muito boa.

O que sabemos agora?

Então, no momento, não sabemos nada sobre a vulnerabilidade, exceto dois fatos importantes:

Afeta apenas o OpenSSL 3 É uma vulnerabilidade crítica

O primeiro ponto é uma ótima notícia, pois embora o OpenSSL seja muito usado, normalmente são as variantes 1.1.1 ou 1.0.2 que estão atualmente em produção. Como nenhuma dessas variantes é afetada por essa vulnerabilidade, os sistemas e softwares que as utilizam também não são afetados. Como o OpenSSL 3.0 foi lançado apenas em setembro de 2021, é improvável que qualquer plataforma anterior a essa seja afetada.

O segundo ponto não é uma grande notícia, mas é ótimo saber. Saber que a falha é tão séria – e ter esse conhecimento por uma semana – garante que as pessoas queiram aplicar a correção o mais rápido possível. Isso é fundamental para garantir uma internet segura e protegida.

O que eu deveria fazer agora?

Tudo o que resta a fazer agora é identificar se você tem alguma máquina vulnerável para poder atualizá-la facilmente quando o anúncio for feito em 1º de novembro. Quando as correções forem lançadas, certifique-se de instalá-las imediatamente.

Até lá, porém, quaisquer rumores ou especulações que você possa ouvir sobre a vulnerabilidade são apenas isso. Melhor esperar pelo anúncio oficial antes de tomar grandes decisões.