Em resumo: O nível de alerta laranja do BSI (Gabinete Federal Alemão para a Segurança da Informação) é o segundo mais alto de quatro. Significa: a situação de ameaça informática é crítica para o negócio e o funcionamento normal pode ser massivamente perturbado. Para o PHP2Shell, o BSI atribuiu este nível 3 e recomenda a atualização imediata ou, se esta não for possível, retirar temporariamente da rede os servidores web afetados. Para as empresas, laranja significa: o assunto pertence hoje à mesa da direção.
O que a classificação significa para quem decide
Muitos gerentes ouviram falar de “nível de alerta laranja” nas notícias sem saber como o enquadrar. É um alarme para todos ou um assunto para o departamento de TI? A resposta curta: o laranja é o nível em que o BSI parte do princípio de que os afetados, sem uma ação rápida, correm o risco de sofrer perturbações graves no seu negócio.
Segundo a hessenschau, o BSI falou, no caso do PHP2Shell, de um potencial de ameaça excecional. Contava com uma exploração rápida e em larga escala. Ataques bem-sucedidos em larga escala confirmados não eram, segundo o BSI, conhecidos à data do alerta. As duas coisas andam juntas: o nível elevado descreve o risco, não um dano que já tenha ocorrido.
Nível de alerta laranja do BSI e os outros três níveis
O BSI classifica os seus alertas de cibersegurança numa escala de 1 a 4. A tabela seguinte reproduz o significado em termos aproximados:
| Nível | Cor | Significado (em termos aproximados) |
|---|---|---|
| 1 | Cinzento | Situação de ameaça informática sem anomalias significativas |
| 2 | Amarelo | Observação reforçada de anomalias, funcionamento normal por vezes afetado |
| 3 | Laranja | Situação crítica para o negócio, perturbação massiva do funcionamento normal |
| 4 | Vermelho | Situação extremamente crítica, funcionamento normal impossível de manter em muitas áreas |
O nível diz algo sobre a situação no seu conjunto, não sobre o seu servidor em particular. Um servidor web totalmente com patch e verificado está numa boa posição mesmo com laranja. Um servidor sem patch com PHP 8.1 e mod_php está em risco mesmo com um nível mais baixo.
Como usar a escala internamente
Muitas empresas têm os seus próprios níveis de emergência, por exemplo no manual de emergência ou no âmbito de um sistema de gestão da segurança da informação. Vale a pena atribuir aí de forma fixa os níveis do BSI. Uma regra simples pode ser: com amarelo, a TI verifica no funcionamento normal. Com laranja, a direção é informada no mesmo dia, é designado um responsável e o estado de todos os sistemas afetados é levantado por escrito. Com vermelho, reúne-se o gabinete de crise.
Assim, uma notícia transforma-se numa reação treinada. Quem definiu a atribuição de antemão não tem de discutir, na emergência, se a situação é “suficientemente grave”. No caso do PHP2Shell, esta regra teria significado: ainda a 21 de outubro, levantamento do inventário, plano de patches e decisão sobre desligamentos.
O BSI publica os próprios alertas no seu site, onde também são atualizados quando surgem novos dados. Vale a pena ler sempre a versão mais atual, porque as recomendações e avaliações podem mudar ao longo de uma situação.
Porque é que o PHP2Shell é laranja e não vermelho
Para comparação, é frequente recorrer-se ao Log4Shell. Para a vulnerabilidade na biblioteca Java Log4j, o BSI declarou o nível vermelho em dezembro de 2021, segundo notícias da época, entre outras razões porque a vulnerabilidade era trivialmente explorável e já eram conhecidos comprometimentos. Em janeiro de 2022, o alerta foi, segundo o Bundestag, rebaixado para amarelo.
A justificação exata para o laranja no PHP2Shell só o BSI a conhece. Diferenças reconhecíveis são a situação quanto a ataques confirmados e o facto de existir uma atualização disponível para todos os ramos do PHP suportados. Uma comparação detalhada é oferecida pelo artigo PHP2Shell e Log4Shell. O laranja não é, de modo algum, um alívio. A recomendação de, em caso de necessidade, retirar servidores da rede é, para uma autoridade, uma indicação clara.
O nível de alerta pode mudar, nos dois sentidos. Vale o estado atual no site do BSI, e não um artigo de jornal da véspera.
O que o laranja não significa
Três equívocos surgem-nos com frequência neste momento:
- “Laranja quer dizer que fomos pirateados.” Não. O nível descreve a situação de ameaça, não um resultado nos seus sistemas.
- “Laranja só vale para autoridades.” Não. Os alertas dirigem-se a todos os operadores de sistemas afetados, incluindo pequenas empresas.
- “Se temos Cloudflare ou uma WAF, o laranja não nos diz respeito.” Não. As regras de proteção reduzem o risco, mas não substituem a atualização do PHP.
Se do alerta resultam obrigações legais, por exemplo no âmbito da NIS2, depende do seu setor e dimensão. Isto não é aconselhamento jurídico; esclareça os pormenores com o seu aconselhamento jurídico ou o seu encarregado da proteção de dados.
Traduzir a classificação em decisões
Um nível de alerta vale tanto quanto as decisões que dele resultam. Para o PHP2Shell, recomendamos às empresas esta sequência:
- Esclarecer o impacto: que servidores e sites correm com PHP, quem os opera?
- Comprovar o nível de patch: versão corrigida 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou um backport confirmado pelo fornecedor.
- Garantir o reinício: todos os processos PHP têm de ter sido reiniciados.
- Se isso não for possível de imediato: aplicar medidas provisórias ou retirar temporariamente o servidor da rede, como recomenda o BSI. As opções são descritas em Medidas imediatas sem patch.
- Verificar vestígios e guardar registos: a partir de 20 de outubro.
- Documentar as decisões: quem decidiu o quê, quando e com que fundamento.
Precisamente o último ponto é subestimado. Quem agiu de forma compreensível perante um alerta oficial de nível laranja está em melhor posição face a seguradoras, clientes e entidades de supervisão. Antecedentes são fornecidos pela página sobre a responsabilidade da gerência.
Como ajuda concretamente a PHP SOS?
- Situação da sua empresa: Traduzimos a classificação do BSI numa lista, por prioridade, dos seus sistemas afetados.
- Aplicação da recomendação: Aplicamos o patch, reiniciamos ou aplicamos medidas provisórias até a atualização ser possível.
- Comprovativo: Recebe uma documentação do que foi feito, quando e em que servidor.
- Acompanhamento: Se o BSI alterar a classificação ou surgirem novas notícias, avaliamo-las para os seus sistemas.
Mais informações em ajuda imediata PHP2Shell.
Conclusão
O nível de alerta laranja é o segundo mais alto do BSI e está bem fundamentado para o PHP2Shell. Não exige pânico, mas exige uma decisão no mesmo dia: aplicar o patch, reiniciar, verificar ou desligar temporariamente. Quem o documentar leu bem o alerta.
Perguntas frequentes
Quantos níveis de alerta tem o BSI?
Os alertas de cibersegurança do BSI (Gabinete Federal Alemão para a Segurança da Informação) usam quatro níveis: 1 / cinzento, 2 / amarelo, 3 / laranja e 4 / vermelho. O laranja é o segundo nível mais alto e descreve uma situação de ameaça informática crítica para o negócio, com perturbação massiva do funcionamento normal.
O nível de alerta laranja é uma obrigação de agir?
O próprio alerta é uma avaliação técnica com recomendações de ação. As obrigações que daí resultam para a sua empresa, por exemplo ao abrigo da NIS2, de contratos ou de condições de seguros, dependem do caso concreto. Esclareça-o com o seu aconselhamento jurídico; isto não é aconselhamento jurídico.
Porque é que o PHP2Shell não está no nível vermelho?
Os motivos de uma classificação são definidos pelo próprio BSI. Destaca-se uma diferença em relação ao Log4Shell, que recebeu vermelho em 2021: nesse caso, segundo notícias da época, já eram conhecidos comprometimentos. No PHP2Shell, ataques bem-sucedidos em larga escala confirmados eram, segundo o BSI, inicialmente desconhecidos.
O nível de alerta pode mudar?
Sim. O BSI ajusta as classificações à situação, para cima e para baixo. O Log4Shell, por exemplo, foi, segundo o Bundestag, rebaixado de vermelho para amarelo em janeiro de 2022. Consulte o estado atual diretamente no BSI.