RECOMENDAÇÃO 20/2026

[TLP:CLEAR]

1. O CTIR Gov alerta para o aumento de varreduras ativas e passivas por agentes maliciosos focadas na identificação trivial e não autenticada de versões de software expostas em cabeçalhos HTTP. A prática de reconhecimento ganhou destaque nos recentes alertas sobre vulnerabilidades críticas no núcleo do PHP, como o caso "PHP2Shell" (CVE-2026-109618 e CVE-2026-109619), onde a exposição explícita de cabeçalhos tem sido utilizada para direcionar ataques automatizados à Administração Pública Federal.

2. A divulgação explícita de versões em servidores, serviços web e APIs elimina a assimetria defensiva e facilita o direcionamento de *exploits* pré-calibrados para versões específicas de bibliotecas. Embora a ocultação de versões não substitua a aplicação de correções (*patches*), ela atua como uma camada indispensável de mitigação da fase de reconhecimento, dificultando a exploração de vulnerabilidades recém-divulgadas.

3. Sugere-se a revisão e aplicação imediata de parâmetros de supressão de identificadores tecnológicos em todos os serviços web, APIs, proxies reversos, balanceadores de carga, servidores de aplicação e módulos de infraestrutura Linux e Windows.

4. Sugestões de análise técnica:

• Nginx (Linux/Windows): Desativar a versão no cabeçalho Server - server_tokens off; e forçar a eliminação de cabeçalhos de backend via FastCGI ou Proxy - fastcgi_hide_header X-Powered-By;
• Apache HTTP Server (Linux/Windows): Restringir respostas de assinatura - ServerTokens Prod, ServerSignature Off e remover ativamente cabeçalhos de runtime no módulo mod_headers - Header unset X-Powered-By.
• Internet Information Services (IIS): Remover o cabeçalho X-Powered-By em nível global e de site via web.config e suprimir versões do ASP.NET - enableVersionHeader="false".
• Ambientes PHP: Configurar expose_php = Off nos arquivos php.ini de todos os nós - CLI, Apache e PHP-FPM.
• Java / Tomcat / JBoss / WildFly: Ocultar assinaturas de páginas de erro personalizadas - ErrorReportValve e definir o atributo server nulo ou genérico no conector Tomcat.
• Node.js / Express e Python / ASGI / WSGI: Desativar a identificação de middleware - app.disable('x-powered-by') e iniciar processos desabilitando banners de servidor.
• Frontend e Ativos Estáticos: Adotar práticas de minificação, expurgando linhas de cabeçalho comentadas com números explícitos de versão interna sempre que técnica e contratualmente viável.

5. A conformidade poderá ser validada por meio de requisição HTTP direta, utilizando utilitários de linha de comando (`curl -sI https://[URL-DO-SISTEMA]/ | grep -Ei "(x-powered-by|server:|x-aspnet)"`), sob o critério de não exibir versão detalhada.

6. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento decorrente da exploração destas exposições, o órgão deve reportar imediatamente ao CTIR Gov pelo e-mail ctir@ctir.gov.br.

[TLP:CLEAR]