outubro 19, 2026

GeekZilla
InstagramTecnologia

Cloudflare Derrubada: Quando a Solução Vira o Problema

Por Redação068
Sumário

Se você tentou acessar metade da internet hoje de manhã e levou um “500 Internal Server Error” na cara, não foi culpa do seu Wi-Fi. A Cloudflare, aquela gigante que mantém boa parte da web de pé, teve um outage que afetou 28% de todo o tráfego HTTP que ela processa. E a ironia? Foi causado justamente por uma tentativa de nos proteger.

O Culpado: React2Shell

A confusão toda começou com o CVE-2025-55182, carinhosamente apelidado de React2Shell. É uma falha de severidade máxima (CVSS 10.0, gente!) no React Server Components que permite execução remota de código. Basicamente, hackers podem enviar requisições HTTP maliciosas e executar o que quiserem no seu servidor. Versões afetadas: React 19.0 até 19.2.0, além de frameworks dependentes como Next.js 15.x-16.x, React Router, Waku e outros.

O problema tá no protocolo “Flight” do React Server Components – uma falha de desserialização insegura que permite atacantes não autenticados mandarem payloads maliciosos direto pros endpoints de Server Functions. E pior: funciona na configuração padrão de vários frameworks populares.

Cloudflare Tentou Ajudar, Mas…

O CTO da Cloudflare, Dane Knecht, foi direto ao ponto no post-mortem: o outage não foi um ataque cibernético. Foi um tiro no pé ao tentar implementar mitigações emergenciais no WAF (Web Application Firewall) pra bloquear explorações do React2Shell. As mudanças na lógica de parsing do body das requisições simplesmente quebraram tudo por uns 25 minutos, começando às 8:47 GMT.

Sites gigantes como Coinbase, Claude AI da Anthropic, e várias outras plataformas ficaram offline. A equipe teve que fazer rollback das mudanças e só restaurou os serviços por volta das 9:20 UTC. Talk about a bad morning at the office.

Mas não é paranoia: grupos chineses de APT (Advanced Persistent Threat) como Earth Lamia e Jackpot Panda já começaram a explorar a vulnerabilidade poucas horas depois da divulgação. Proof-of-concept exploits já estão disponíveis publicamente, e o NHS England National CSOC alertou que exploração contínua é “altamente provável”.

Cloud providers como AWS, Cloudflare, Akamai e Google já deployaram regras de WAF pra bloquear tentativas de exploração. Mas isso é só pra ganhar tempo – o negócio é fazer patch urgente nas aplicações vulneráveis.

A Cloudflare tá tendo um ano complicado. Em novembro teve outro outage global de quase 6 horas (o CEO Matthew Prince chamou de “pior desde 2019”), e em junho teve mais problemas que afetaram também a infraestrutura do Google Cloud. Quando você é responsável por uma porção gigante da internet, cada erro vira notícia mundial.

O Que Fazer?

Se você usa React Server Components, Next.js ou frameworks relacionados, o lance é atualizar URGENTE pra versões patcheadas. Meta e Vercel lançaram correções em 3 de dezembro. Enquanto isso, configure seus WAFs e fique de olho nos logs. Scanners pra detectar aplicações impactadas já estão disponíveis.

E lembra: WAF não é solução definitiva, é só um band-aid. A verdadeira proteção vem do patch adequado.