Fim do Windows 2003 mal chegou e já tem vulnerabilidade descoberta

O Windows Server 2003 saiu oficialmente da lista de sistemas suportados pela Microsoft. E bem a tempo de ficar de fora da correção de uma vulnerabilidade crítica.

Agora o sol se pôs de vez para o Windows 2003

Com o End-Of-Live do Windows 2003 em 14 de julho de 2015, ele deixa de receber até mesmo atualizações de segurança. A data coincidiu com a Patch Tuesday de julho, e foi um último alento para quem ainda tem este sistema em produção. Uma verificação na internet mostra um número razoável de organizações (incluindo algumas das maiores empresas do Brasil) com aplicações rodando sobre o Windows 2003 publicadas na internet.

Menos de uma semana depois, a Microsoft divulgou um boletim “out-of-band” (fora do ciclo normal das Patch Tuesdays) para fechar uma vulnerabilidade crítica que afeta todas as edições do Windows. Esta vulnerabilidade pode ser explorada convencendo o usuário a abrir um arquivo ou simplesmente fazendo-o navegar até uma página preparada, permitindo ao atacante executar código arbitrário na máquina da vítima. A correção está disponível no boletim MS15-078. A opção pelo lançamento do fix antes da próxima Patch Tuesday se deve pelo fato da vulnerabilidade ter sido publicamente divulgada via os vazamentos do Hacking Team, tornando trivial o desenvolvimento de ataques que a explorem.

Quando aos sistemas operacionais suportados tais como o Windows 7/8 e o Windows 2008/2012, de nada adianta o fix estar disponível se não for aplicado. Organizações que tem processos estruturados para instalação periódica de correções de segurança terão mais sucesso na proteção dos seus ativos. Quem sabe não é hora de rever este processo?

E se você ainda tem servidores em produção com o Windows 2003, já está mais do que na hora de migrá-los.