A biblioteca JavaScript antiga do seu site pode ser uma porta conhecida e aberta

Seu site funciona bem, vende, recebe cliente todo dia. Por baixo dele, porém, costuma rodar um punhado de peças de código que alguém instalou anos atrás e ninguém mais tocou. Uma dessas peças pode ser uma versão antiga do jQuery ou do Bootstrap, dois programas muito comuns em sites brasileiros. Elas continuam fazendo o trabalho de sempre. O problema é que, com o tempo, ganharam falhas que hoje já são públicas e conhecidas por quem procura.

Essa é exatamente a categoria que a OWASP, uma organização internacional sem fins lucrativos que estuda segurança de aplicações na internet, colocou na sua lista dos dez riscos mais comuns. Na versão de 2021 dessa lista, o item recebeu o código A06 e o nome de Componentes Vulneráveis e Desatualizados. Vamos destrinchar isso em português de gente.

O que é uma biblioteca, sem juridiquês

Biblioteca, no mundo da programação, é uma caixa de ferramentas pronta. Em vez de o programador escrever do zero como fazer um menu abrir, uma janela aparecer ou um formulário validar o que você digitou, ele usa código que outras pessoas já escreveram e testaram. O jQuery faz esse tipo de tarefa há muitos anos. O Bootstrap cuida de deixar o site bonito e ajustado para celular e computador. Quase todo site usa algumas dessas caixas de ferramentas.

Você instala a caixa uma vez e ela passa a fazer parte do seu site. Aqui mora o detalhe que pouca gente percebe: a caixa não se atualiza sozinha. A versão que entrou em 2018 continua sendo a de 2018, mesmo em 2026.

Por que versão velha vira porta aberta

Quem mantém essas ferramentas conserta falhas com o tempo. Quando uma falha é corrigida, ela também passa a ser documentada em público, com um número de identificação que qualquer pessoa consulta. Esse cadastro existe para ajudar quem defende. Só que ele também serve de mapa para quem ataca.

Um exemplo real. O jQuery teve uma falha catalogada publicamente como CVE-2020-11022, em 2020. Ela permitia que um código malicioso fosse executado no navegador do visitante. Atingia versões do jQuery a partir da 1.2 e foi corrigida na versão 3.5.0. Quem ainda roda uma versão anterior a essa carrega a falha junto. O atacante não precisa descobrir nada novo. A receita do problema já está escrita e disponível.

Rodar uma versão antiga é deixar afixada na porta uma receita pronta de como entrar.

A boa notícia: atualizar resolve

Diferente de muitos problemas de segurança, esse tem solução direta. Atualizar a biblioteca para uma versão mais nova, que já recebeu a correção, fecha a porta. Não é cirurgia. Na maioria dos casos, é trocar um arquivo por outro mais recente e conferir se o site continua funcionando como antes.

O que costuma faltar não é a correção. É saber que o problema existe. Ninguém vai atualizar uma peça que esqueceu que estava ali.

Onde o Vigil entra

O Vigil agora identifica as bibliotecas que o seu site carrega e aponta quais delas estão em versões com falha já conhecida, junto do número que cataloga cada uma. Em vez de você adivinhar o que roda por baixo do site, fica claro o que pedir para o seu desenvolvedor atualizar. Rodar esse raio-X de segurança de tempos em tempos transforma uma porta esquecida em uma pendência simples de resolver.