Apache Struts, Log4j, MOVEit: o que a decade de supply chain ensina sobre Where

Se a última década do PHP, do Log4Shell, do Struts, do MOVEit, do SolarWinds e do XZ Utils pareceu uma sequência de azar, é porque talvez não fosse azar. O padrão é que a falha deixou de estar no código que a empresa escreve e passou a estar na cadeia que o entrega.

Log4Shell estava em uma dependência transitiva de outra dependência. O Struts estava em componentes que ninguém mapeava. O MOVEit era o produto de segurança, justamente o que devia proteger. O SolarWinds era a ferramenta de monitoramento, com acesso a tudo. O XZ Utils estava no build, nem no código de produção. E o PHP, em 21 de outubro de 2026, estava no interpretador que executa a aplicação inteira.

O que essa lista revela é que a pergunta 'meus sistemas estão com correção' sempre esteve mal formulada. A pergunta útil é: tenho inventário do que executo, com a versão de cada componente, e sei dizer, em minutos, o querecebeu correção e o que não recebeu. A segunda é: meu processo de atualização alcança a cadeia inteira, ou só o meu código.

A resposta honesta para a maioria das empresas é que não alcança. E é por isso que a atualização de uma biblioteca, ou de um componente de servidor, deveria ser tratada com o mesmo cuidado de atualização do próprio sistema. O ataque de hoje não encontrou uma empresa descuidada com o próprio código. Encontrou uma empresa cuidadosa com o próprio código e descuidada com tudo o que esse código toca.