Confluence: quando a própria documentação da empresa vira o vetor de ataque

Em janeiro de 2023, a Atlassian publicou a CVE-2023-22515, uma falha de injeção de template no Confluence, a ferramenta de wiki e documentação usada por organizações de todo o mundo. A falha permitia a um atacante sem autenticação executar código no servidor, e foi explorada de forma massiva em poucas semanas.

O que tornou esse caso particular foi o que o Confluence representava dentro da empresa. A wiki não é só um site institucional: é onde ficam os procedimentos, a arquitetura, as credenciais de bancos de teste, as decisões de infraestrutura e, muitas vezes, os arquivos de configuração com segredos. Um invasor que ganha execução de código no Confluence não está apenas em um servidor: está no lugar onde a empresa guardou o mapa de tudo.

As campanhas de exploração adicionaram um arquivo de shell web em diretórios acessíveis pela web, o que transformou o acesso em persistência e em um ponto de entrada para a movimentação lateral. A correção exigia atualização e, em muitos casos, a análise de logs de acesso em busca de indícios de exploração anterior, porque uma falha de RCE sem autenticação não deixa rastro confiável se ninguém procura.

A lição é sobre onde a empresa guarda o próprio conhecimento. Documentação interna é ativo de alto valor e precisa ser tratada com o cuidado de um sistema de produção: acesso restrito, autenticação forte, atualização prioritária e monitoramento de alterações. E a segunda é sobre o plano de resposta: quando a falha permite execução de código sem autenticação, a pergunta obrigatória não é apenas como corrigir, é como saber se já exploraram.