Apache HTTP Server: quando o servidor web mais usado do mundo também é o mais exposto

Em 2021, o Apache HTTP Server publicou a CVE-2021-41773, uma falha de escape de caminho no tratamento de URL, que permitia ler arquivos fora da raiz do site, e em 2022 a CVE-2022-23943, uma falha de execução remota em um módulo opcional. Os dois casos são a mesma história: o componente mais deployado da web tem falhas, e a maioria dos servidores demora a incorporar a correção.

O caso do Apache ficou conhecido pelo que a segunda falha exigiu. A correção do mod_php não era um arquivo de configuração, era um novo pacote do sistema operacional. Servidores com distribuição própria, ou com compilação manual, precisavam de uma operação de troca de arquivo em uso, e a tarefa foi adiada em muita empresa.

O outro detalhe instrutivo está na primeira falha, a CVE-2021-41773, cuja correção também dependia de recompilar o módulo. A falha nasceu de uma mudança de duas linhas, feita para corrigir um problema de segurança anterior, o CVE-2021-41772, que por sua vez havia sido introduzido para corrigir outro problema. A cadeia de mudanças de segurança que começam em um conserto de segurança é um risco conhecido, e é por isso que projeto de software com histórico longo exige revisão de alterações.

A lição é de gestão de componentes críticos: o Apache, o PHP e o sistema operacional precisam de um processo de atualização com prazo definido, com verificação de que a versão em uso é a versão corrigida, e não apenas a versão que o painel mostra. Verificação, no fim das contas, é a única parte do processo que realmente impede o próximo incidente.