O site da presidência foi desligado na sexta-feira 'como medida preventiva em resposta a um incidente global de cibersegurança'. Isso ocorreu dois dias depois que os desenvolvedores da linguagem de programação PHP lançaram correções de emergência para duas vulnerabilidades críticas que já estão sendo ativamente exploradas por invasores.
Em um comunicado publicado nas redes sociais, a presidência pediu desculpas por quaisquer inconvenientes e agradeceu a paciência, mas não especificou o incidente nem informou quando o site seria restaurado. Embora o comunicado não mencione o PHP, o cronograma sugere essa conexão. O Arquivo da Internet mostra que o site presidency.gov.za é construído em Drupal, um sistema de gerenciamento de conteúdo que funciona com PHP.
Na sexta-feira à tarde, o servidor da presidência parou completamente de responder às conexões. As correções para o PHP foram lançadas na quarta-feira, 21 de outubro. Ambas as vulnerabilidades permitem potencialmente que um atacante execute código no servidor web sem necessidade de autorização. Antes do lançamento das correções, a equipe de resposta a emergências cibernéticas da UE, Cert-EU, alertou as organizações que não conseguiam instalar patches para considerarem o desligamento dos sites afetados.
Poucas horas após a divulgação, Matthew Prince, CEO da Cloudflare, relatou que sua rede estava registrando milhões de tentativas de exploração dessas vulnerabilidades. Na sexta-feira à tarde, a publicação TechCentral usou uma ferramenta de inteligência artificial para verificar mais de 100 sites pertencentes a departamentos nacionais e provinciais, metrópoles, reguladores e empresas estatais. O site da presidência foi o único que foi recentemente e intencionalmente desligado, embora a TechCentral não tenha conseguido determinar há quanto tempo outros sites estavam indisponíveis.
Quem instalou as correções
Outros sites estão inoperantes por razões que aparentemente precederam as vulnerabilidades do PHP. O site do Centro Nacional de Cibersegurança, que o diretor do departamento de comunicação chamou de centro nacional de resposta a incidentes de segurança cibernética da África do Sul, relata que está em 'manutenção técnica'. Capturas do Internet Archive mostram o mesmo aviso em intervalos desde fevereiro, incluindo 9 de outubro, até a divulgação das vulnerabilidades do PHP.
O site do governo da província de Free State está em modo de erro 'serviço indisponível' pelo menos desde 26 de setembro. Vários outros sites governamentais estão travando ou exibindo certificados de segurança expirados. No entanto, a presença de um site online não garante sua segurança, pois alguns servidores web revelam a versão do PHP utilizada. Dos 17 sites governamentais verificados, cinco relataram uma das versões corrigidas, enquanto os outros 12 usavam versões mais antigas. Oito desses sites operam em versões do PHP que o projeto PHP não suporta mais em termos de atualizações de segurança; a versão mais antiga, PHP 5.4, não é suportada desde 2015.
O número de versão relatado não é prova de vulnerabilidade, pois distribuições Linux, como Red Hat e Ubuntu, frequentemente adicionam correções de segurança a compilações antigas do PHP sem alterar o número da versão, e um firewall na frente do site pode bloquear ataques. A maioria dos sites testados não revela a versão do PHP, e alguns não usam PHP. A TechCentral se abstém de nomear os sites enquanto as vulnerabilidades estão sendo ativamente exploradas.
Histórico de invasões
A infraestrutura de TI do governo sul-africano demonstrou repetidamente vulnerabilidade a ataques. Em setembro de 2021, um ataque de ransomware criptografou todos os sistemas de informação do Ministério da Justiça. Posteriormente, o Regulador de Informações multou o ministério em 5 milhões de randes por não apresentar provas de renovação de licenças de software antivírus expiradas e responsabilizou funcionários relevantes disciplinarmente.
O ataque de ransomware à Transnet em 2021 resultou em semanas de atrasos nos portos do país. Os sistemas do Bureau of South African Standards foram criptografados em um ataque de ransomware em novembro de 2024. Um relatório do auditor-geral de 2026 sobre a ciberdefesa do governo apontou sistemas desatualizados, políticas de senha fracas e um plano de recuperação de desastres não verificado. Em setembro, a empresa pública de abastecimento de água Rand Water relatou um ataque cibernético a parte de seus sistemas de TI.
Um representante da Agência de TI Governamental, que gerencia a infraestrutura de TI de vários departamentos governamentais, declarou ter solicitado uma resposta à equipe apropriada sobre o site da presidência, e a TechCentral atualizará o artigo após receber o feedback.
