Uma atualização defeituosa da CrowdStrike causou a tela azul em 8,5 milhões de PCs Windows na maior pane de TI da história

Em 19 de julho de 2024, a empresa de segurança cibernética CrowdStrike enviou uma atualização de configuração de rotina para seu software de sensor Falcon, que roda em nível de kernel dentro do Windows em máquinas corporativas. A atualização modificou um arquivo — o Channel File 291, responsável pela triagem de named pipes — que continha um defeito causador de uma leitura de memória fora dos limites. Em vez de falhar de forma controlada, o sensor disparou uma falha de página inválida que levou o Windows à tela azul da morte e a um ciclo de reinicialização.

Como o sensor Falcon roda com altos privilégios em tantos sistemas corporativos, a falha se espalhou quase instantaneamente. A Microsoft estimou depois que cerca de 8,5 milhões de dispositivos Windows foram afetados — menos de um por cento de todas as máquinas Windows, mas uma parcela enorme das que operam empresas. Companhias aéreas deixaram milhares de voos em terra, hospitais voltaram ao papel e bancos, emissoras, varejistas e serviços governamentais ficaram fora do ar pelo mundo. A CrowdStrike tinha mais de 24.000 clientes, incluindo cerca de 60% das empresas da Fortune 500.

A CrowdStrike reverteu o arquivo defeituoso em cerca de uma hora, e o CEO George Kurtz confirmou que foi um acidente, não um ataque. Mas as máquinas que já haviam travado não conseguiam baixar a correção automaticamente: as equipes de TI tiveram que reiniciar cada uma em modo de segurança e excluir manualmente o arquivo ruim, um processo ainda mais complicado nas máquinas que usavam a criptografia de disco BitLocker. A recuperação total levou dias. O prejuízo financeiro mundial foi estimado em bilhões de dólares, tornando-se a maior pane da história da tecnologia da informação.

Reverteu o arquivo em uma hora, mas as máquinas travadas precisaram de correções manuais em modo de segurança, então a recuperação levou dias e as perdas passaram de US$ 5 bilhões.

A atualização de conteúdo não foi validada adequadamente antes de ser enviada de uma só vez para toda a base instalada, sem implantação escalonada ou canário.

O sensor roda em nível de kernel, então um bug nele derrubou todo o sistema operacional em vez de ficar contido.

O software da CrowdStrike não dava aos clientes nenhuma forma de atrasar ou escalonar atualizações de conteúdo, então todas as máquinas receberam o arquivo ruim imediatamente.

A recuperação exigia intervenção manual em cada máquina, então a pane persistiu muito depois de a correção existir.

Software que roda no kernel pode derrubar a máquina que ele protege. Implante primeiro para um pequeno grupo canário, valide atualizações de conteúdo como código e faça uma atualização ruim falhar de forma segura — não fatal.

A CrowdStrike pediu desculpas, compensou os clientes afetados e reformulou a forma como testa e escalona atualizações de conteúdo, adicionando anéis canário e controle do cliente sobre o momento da implantação. O incidente reacendeu o debate sobre a fragilidade de permitir que um único produto de segurança em nível de kernel rode na infraestrutura crítica do mundo, e sobre a decisão da Microsoft de conceder a esse tipo de software acesso profundo ao kernel no Windows. A Delta Air Lines, entre as mais atingidas, relatou centenas de milhões de dólares em perdas. "Pane da CrowdStrike" virou sinônimo de como uma única atualização ruim pode parar o mundo.