PHP, Node.js, LiteLLM e eMudhra: dia ruim para a cibersegurança

O dia reuniu quatro incidentes sem relação entre si. No PHP, vulnerabilidades críticas descobertas por IA derrubaram sites de governos pelo mundo, segundo a Reuters, e a NSA recomendou atualizar na hora ou tirar do ar os sistemas que usam a linguagem até conseguir atualizar. No Node.js, uma nova versão corrigiu quatro falhas de alta severidade: uma permitia execução remota de código e duas abriam espaço para bypass da validação TLS, o que enfraquece a checagem da identidade do servidor.

O caso do LiteLLM é de cadeia de suprimentos. Um invasor injetou código malicioso, e os artefatos foram publicados no PyPI, no Docker Hub e no GHCR. O pacote trazia um ladrão de informações focado em credenciais de nuvem, senhas e credenciais de serviços de IA, além de um trojan de acesso remoto. A empresa removeu as versões e imagens maliciosas e publicou orientação de remediação para quem instalou. Já a eMudhra, autoridade certificadora indiana, teve chaves privadas comprometidas, o que pode permitir emitir certificados fraudulentos e se passar por sites legítimos. Especialistas chamaram a limpeza de maior que a do Heartbleed.

O caso da eMudhra já vinha sendo acompanhado. Em 21 de outubro de 2026, o CEVIU noticiou "Oito certificados intermediários da eMudhra são comprometidos e acendem alerta na Internet", informando que a Cloudflare soube em 19 de outubro de 2026 do comprometimento das chaves privadas de oito certificados intermediários e que, por serem chaves fracas, um atacante pode forjar certificados para qualquer domínio. A notícia atual põe esse episódio ao lado de PHP, Node.js e LiteLLM e traz a avaliação de que o estrago pode superar o do Heartbleed.

O LiteLLM também já tinha aparecido. Em 16 de junho de 2026, o CEVIU publicou "Cadeia crítica no LiteLLM permite escalação de privilégios, execução remota e roubo de credenciais de IA", sobre falhas no proxy. Aquele caso tratava de vulnerabilidades no software. O de agora é outro tipo de problema: código malicioso publicado em repositórios de pacotes e imagens.

Para quem opera infraestrutura, a leitura é que o ritmo de correção virou o gargalo. Se a IA acelera a descoberta de falhas, e o artigo aponta que também pode facilitar a exploração, a janela entre divulgação e ataque tende a encolher. Vale revisar o que roda em PHP e Node.js, conferir de onde vêm pacotes e imagens (principalmente em projetos com LiteLLM) e acompanhar a revogação de certificados ligados à eMudhra.