O acesso não autorizado ao repositório de código de uma empresa de segurança, revelado no período, tem gravidade que decorre de uma característica do próprio produto: ferramenta de segurança roda com privilégio elevado.
A razão é funcional. Para detectar comportamento suspeito, o programa precisa enxergar o que os outros programas fazem, ler arquivo que não é dele e interceptar comunicação. Isso exige permissão que quase nenhum outro software tem.
Essa mesma permissão transforma o componente em ponto de falha privilegiado. Vulnerabilidade em editor de texto compromete o editor; vulnerabilidade em ferramenta de segurança compromete a máquina inteira, e ela está instalada em dezenas de milhares de organizações.
Ter o código-fonte muda a economia de quem procura essa falha. Auditar código é muito mais eficiente que testar o produto de fora, e reduz de meses para dias o tempo de encontrar algo aproveitável.
Para quem contrata segurança, a conclusão não é deixar de usar esse tipo de ferramenta, e sim tratá-la como o que ela é: a dependência mais privilegiada do parque, que merece acompanhamento de aviso, prazo de correção e plano para o dia em que ela mesma for o problema.