EUA recomendam abandono de linguagens C e C++ para aumentar segurança cibernética

A CISA (Cybersecurity and Infrastructure Security Agency) e o FBI, duas das principais agências de segurança dos Estados Unidos, emitiram recentemente um alerta recomendando que empresas de desenvolvimento de software do país deixem de usar linguagens de programação como C e C++. O objetivo é reduzir vulnerabilidades em sistemas e aumentar a segurança cibernética. Esta não é uma nova recomendação, já que a CISA vem alertando contra o uso dessas linguagens desde 2019.

O alerta da CISA é motivado pelas características dessas linguagens, amplamente usadas na indústria de software. O principal problema, segundo a agência, está na gestão de memória, um ponto crítico para a segurança de qualquer sistema. O relatório explica que linguagens como C e C++ oferecem “muita liberdade e flexibilidade no gerenciamento de memória”, mas dependem do programador para realizar as verificações necessárias, o que aumenta o risco de falhas.

O acesso direto à memória, característica dessas linguagens, pode ser útil para otimizações de desempenho do software, mas também pode levar a sérios problemas, como estouros de memória ou vazamentos de dados. Esses tipos de falhas podem ser explorados por hackers para invadir sistemas, roubar informações sensíveis e até interromper serviços essenciais. Como resultado, esses problemas de segurança são uma preocupação constante para agências de segurança.

Em outubro, a CISA divulgou um relatório detalhado sobre as “Práticas Ruins de Segurança de Produtos”, no qual descreve as práticas de desenvolvimento de software que são consideradas inseguras nos dias de hoje. O documento recomenda a substituição dessas práticas por abordagens mais seguras, especialmente no que diz respeito ao controle de memória. Entre as alternativas sugeridas está o uso de linguagens de programação mais seguras, que minimizam os riscos de vulnerabilidades.

Linguagens mais modernas, como Rust, Java, C#, Go, Python e Swift, são apontadas como alternativas mais seguras. Elas oferecem maior controle sobre a memória e recursos de segurança mais robustos, reduzindo a possibilidade de falhas críticas que possam ser exploradas por cibercriminosos. Embora essas linguagens sejam vistas como opções viáveis, a migração para elas não é simples.

Migrar de uma linguagem mais antiga para uma mais moderna envolve um processo complexo e dispendioso. Requer um planejamento cuidadoso, treinamento de programadores e muitas etapas de testes, homologação e adaptação das bases de código. Além disso, a mudança precisa ser feita de forma gradual, para garantir a continuidade das operações das empresas de software.

Mesmo que as recomendações sejam voltadas para o mercado americano, a mudança pode ter um efeito dominó sobre a indústria global de software. A CISA já solicitou que as empresas apresentem um plano de migração para linguagens mais seguras até 1º de janeiro de 2026, o que pode incentivar a adoção de novas práticas de segurança no desenvolvimento de software em todo o mundo.