Atualizações e software desatualizado

Módulo 5: Dispositivos, software e rede · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá criar uma política de atualizações para sistemas operativos, aplicações, plugins, routers e outros dispositivos, e explicar o que significa "fim do suporte" e o que fazer nesse caso.
Conceitos-chave: vulnerabilidade, patch, zero-day, atualizações automáticas, firmware, plugin, inventário, fim do suporte (end of life), dispositivo de borda (edge device)

Uma atualização é uma fechadura extra que você instala

O software contém erros. Alguns erros são apenas incómodos (um botão que não funciona), outros são uma vulnerabilidade: um erro que permite a um atacante fazer algo que não estava previsto, como iniciar sessão sem palavra-passe ou executar código próprio. O fabricante resolve isso com um patch, que chega até si sob a forma de atualização.

O aspeto traiçoeiro está na ordem dos acontecimentos. Assim que uma atualização é lançada, a vulnerabilidade torna-se, na prática, pública. Os atacantes comparam a versão antiga com a nova, veem o que foi corrigido e constroem um ataque a partir disso. Depois, procuram automaticamente em toda a internet dispositivos que ainda não tenham essa atualização. É exatamente o ataque oportunista da lição 1.1: não procuram você especificamente, procuram todos os que estão atrasados.

Um zero-day é uma vulnerabilidade que já está a ser explorada antes de existir um patch. Nesse caso pode fazer pouco, além de seguir os conselhos do fabricante e limitar os danos (cópias de segurança, permissões mínimas). Mas a grande maioria das invasões em pequenas empresas acontece através de vulnerabilidades para as quais a atualização já estava disponível há muito tempo.

O antigo Digital Trust Center, agora parte do NCSC neerlandês, constatou em 2024, na sua CyberVeilig Check, que mais de uma em cada três pequenas empresas (36%) não tinha as atualizações automáticas ativadas em todos os seus dispositivos ligados à internet. O conselho do NCSC neerlandês é simples: não espere para atualizar e ative as atualizações automáticas sempre que possível.

O que tem, afinal? O inventário

Não é possível atualizar aquilo de que se esqueceu. A maioria das empresas pensa em portáteis e telemóveis quando fala em atualizações, mas os dispositivos mais perigosos são muitas vezes os mais silenciosos:

Os dispositivos ligados diretamente à internet e acessíveis a partir do exterior (router, servidor VPN, NAS com acesso remoto, câmara) são chamados dispositivos de borda (edge devices). São os alvos mais frequentes, porque um atacante consegue aceder-lhes sem que nenhum colaborador tenha de clicar em nada. Um exemplo anonimizado: um gabinete de contabilidade tinha um NAS com "acesso a partir de qualquer lugar" ativado. O fabricante lançou uma atualização de segurança, o gabinete não a instalou e, algumas semanas depois, todos os ficheiros no NAS estavam encriptados. Ninguém tinha clicado em nada.

Uma política de atualizações em cinco acordos

Uma política não precisa de ser um documento de dez páginas. Para uma pequena empresa, estes acordos funcionam bem:

1. Automático sempre que possível. Ative as atualizações automáticas para sistemas operativos, navegadores, aplicações e, sempre que possível, para o CMS, os plugins e o firmware do router e do NAS.
2. Reiniciar faz parte do processo. Muitas atualizações só funcionam depois de um reinício. Combine que todos reiniciam pelo menos uma vez por semana e não adie um reinício durante semanas.
3. Dispositivos de borda em primeiro lugar. Para dispositivos acessíveis a partir do exterior: verifique pessoalmente se há atualizações, por exemplo uma vez por mês, e instale uma atualização de segurança no espaço de alguns dias. Se o fabricante ou o centro nacional de cibersegurança alertar para exploração ativa, faça-o no mesmo dia.
4. Um responsável por dispositivo. No inventário, cada linha indica quem o atualiza: você, um colega, a sua empresa de TI ou o seu criador de sites. Se não houver ninguém indicado, ninguém o fará.
5. O que já não é necessário, é removido. Um plugin que não usa, um portátil antigo na arrecadação que ainda se liga à rede, um site de testes num subdomínio: remova, assim não precisa de o atualizar.

Tem dúvidas sobre se uma atualização pode estragar algo? Faça primeiro uma cópia de segurança (módulo 6) e depois atualize. Não instalar uma atualização com medo de problemas é quase sempre o risco maior.

Fim do suporte: quando deixam de existir atualizações

Cada versão de software ou firmware tem uma data de validade. Depois disso, o fabricante deixa de lançar atualizações de segurança. Chama-se a isto fim do suporte (end of life, EOL). O dispositivo continua a funcionar normalmente, e é precisamente isso que o torna traiçoeiro: ninguém repara em nada, enquanto cada nova vulnerabilidade permanece aberta para sempre.

Exemplos:

• Windows 10. O suporte normal terminou em 14 de outubro de 2025. Depois disso só existem atualizações de segurança através do programa ESU da Microsoft, com datas finais que variam consoante a situação. Consulte o site da Microsoft para saber o que se aplica aos seus dispositivos e planeie a mudança para uma versão com suporte ou para outro dispositivo.
• PHP e outras linguagens de sites. Cada versão do PHP recebe atualizações de segurança durante alguns anos. Se o seu site utilizar uma versão antiga, o servidor pode estar seguro, mas o seu site não.
• Routers, NAS e câmaras. Os dispositivos mais baratos por vezes só recebem atualizações de firmware durante alguns anos, ou nunca. O centro nacional de cibersegurança aconselha a verificar, antes da compra, durante quanto tempo o fabricante dará suporte ao dispositivo, e a substituir os dispositivos que já não recebem atualizações.
• Plugins e temas. Um plugin cujo criador deixou de o desenvolver não recebe mais correções. Procure um substituto.

Se não conseguir substituir algo de imediato, limite o risco: retire-o da internet, coloque-o numa rede separada (lição 5.3) e não lhe dê acesso a dados importantes.

Atualizar com segurança: apenas pela via oficial

Os atacantes também utilizam indevidamente a palavra "atualização". Um pop-up num site "O seu navegador está desatualizado, descarregue aqui a atualização" ou um e-mail "instale a atualização de segurança em anexo" é quase sempre malware. As atualizações verdadeiras chegam através do sistema operativo, da loja de aplicações, da função de atualização do próprio programa ou do site do fabricante. Nunca através de uma ligação num e-mail ou de um pop-up num site qualquer.

Na prática: é assim que se faz

Num pacote de alojamento com DirectAdmin, como no WebOké, escolhe a versão do PHP do seu site através de Select PHP version. Se quiser fazer uma cópia de segurança antes de atualizar o seu site ou os plugins, pode fazê-lo, por exemplo, no Installatron com o botão Back-up, após o qual, em caso de problemas, pode restaurar a versão anterior. Noutros fornecedores funciona de forma semelhante: procure "versão do PHP" e a função de cópia de segurança ou de staging do seu CMS.

Para computadores e telemóveis, a função de atualização encontra-se nas definições do sistema operativo. Para o seu router, consulte a página de administração (o endereço encontra-se no manual ou no autocolante do router) ou a aplicação do seu fornecedor.

Resumo

• Uma atualização corrige uma vulnerabilidade conhecida; depois de ser lançada, os atacantes procuram em toda a internet quem ficou para trás.
• Faça um inventário, também do router, do NAS, da impressora, das câmaras, do site e dos plugins, com um responsável por linha.
• Atualize automaticamente sempre que possível, reinicie quando necessário, e trate primeiro e rapidamente dos dispositivos de borda.
• Fim do suporte significa: já não há atualizações de segurança. Substitua, ou desligue e isole.
• Atualizações apenas pela via oficial, nunca através de um pop-up ou de um e-mail.

Questionário

Exercício

Exercício D5.1: O seu inventário de atualizações. Faça uma lista de todos os seus dispositivos e software, incluindo router, NAS, impressora, câmaras, site e plugins. Registe, por linha, a versão, se as atualizações automáticas estão ativadas, quem é o responsável e se ainda tem suporte. Atualize o que está atrasado e responda às perguntas de reflexão.

Para saber mais

Os passos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores funciona de forma semelhante.

• Manual DirectAdmin 14.1: Escolher a versão do PHP (Select PHP version)
• Manual DirectAdmin 13.6: Fazer e restaurar cópias de segurança no Installatron
• NCSC neerlandês, Uma em cada três pequenas empresas não faz atualizações automáticas: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• NCSC neerlandês, Organize a gestão de patches: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• NCSC neerlandês, Medidas básicas de segurança para dispositivos inteligentes: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, ciclo de vida do Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro