 |
| imagem gerada por IA |
A Redbelt Security identificou em agosto uma sequência de falhas críticas em ferramentas usadas para administrar ambientes corporativos inteiros. O destaque do mês é o SharePoint, da Microsoft: uma vulnerabilidade que permite forjar tokens de autenticação e assumir a identidade de qualquer usuário foi encadeada, ao longo do mês, com uma segunda falha que resulta em execução remota de código completa. Do lado da virtualização, um ator ligado à China explorou uma brecha no VMware vCenter para comprometer cerca de 360 servidores em 47 países e instalar ransomware derivado do Babuk diretamente em hosts ESXi. Firewalls Cisco e appliances Citrix NetScaler completam a lista de sistemas com exploração ativa confirmada no período, ao lado do SAP Commerce Cloud.
No mês de agosto, os atacantes deixaram de lado alvos individuais e foram direto para os consoles que administram tudo, de servidores de colaboração a appliances de borda, passando por plataformas de gestão de virtualização. Comprometer um desses pontos entrega controle sobre dezenas, às vezes milhares, de máquinas de uma só vez. Em mais de um caso, o intervalo entre a publicação de uma prova de conceito e o primeiro ataque real foi de poucos dias, deixando pouca margem para quem ainda depende de ciclos tradicionais de aplicação de patches.
Uma cadeia de duas vulnerabilidades no SharePoint on-premises, da Microsoft, evoluiu de uma etapa de personificação de usuários para o controle completo do servidor. A primeira falha, identificada como CVE-2026-55040, está relacionada ao processo de validação de tokens JWT do SharePoint: ela permite que um atacante não autenticado forje um token válido e se passe por qualquer usuário, inclusive administradores. Provas de conceito para essa etapa foram publicadas pela Rapid7 no início de agosto.
Na sequência, uma segunda falha, catalogada como CVE-2026-63520 e localizada no Business Connectivity Services, usa deserialização insegura para transformar esse acesso em execução remota de código. A VulnCheck publicou a prova de conceito para essa segunda etapa em 24 de agosto, e ataques encadeando as duas brechas começaram já no dia seguinte. A falha afeta as versões 2016, 2019 e Subscription Edition do SharePoint em instalações on-premises — o SharePoint Online, hospedado pela própria Microsoft dentro do Microsoft 365, não é impactado. A Microsoft já corrigiu o problema em seus boletins de julho e agosto, mas empresas que não aplicaram essas atualizações continuam expostas.
Uma campanha atribuída, com confiança moderada, a um grupo ligado à China explorou uma falha de path traversal no VMware vCenter Server, identificada como CVE-2026-59310 e corrigida pela Broadcom em 29 de julho. Pesquisadores mapearam cerca de 360 endereços IP comprometidos em 47 países. Depois de obter execução como root no vCenter, os atacantes usam uma ferramenta chamada reverse_ssh para manter acesso persistente ao plano de gerenciamento, de onde enumeram máquinas virtuais, alcançam os hosts ESXi e implantam um ransomware derivado do Babuk.
Há relatos de que o acesso obtido pelos invasores sobrevive à aplicação do patch, o que torna a rotação de credenciais tão importante quanto a correção da vulnerabilidade em si — um detalhe que a CISA reforçou ao incluir a falha em seu catálogo de vulnerabilidades exploradas ativamente, com prazo de remediação fixado em 21 de agosto.
Um estouro de memória pré-autenticação no NetScaler ADC e no NetScaler Gateway, acionado por um pacote SAML malformado, permite execução remota de código sem qualquer credencial. A empresa de pesquisa watchTowr demonstrou a falha publicamente, e atacantes passaram a instalar web shells em appliances vulneráveis para manter acesso e executar comandos. Levantamentos independentes contam mais de 22 mil instâncias do NetScaler ADC expostas diretamente à internet.
A Citrix soma a esse cenário uma segunda falha, de bypass de autenticação, que consultorias de inteligência de ameaças avaliam como de exploração iminente, dado o interesse já demonstrado por atacantes na mesma linha de produtos.
Nos firewalls ASA e FTD, uma falha de tratamento de memória permite que um atacante remoto, sem autenticação, envie uma requisição HTTP manipulada ao serviço de VPN SSL e force a reinicialização do equipamento. A Cisco recomendou aplicar o patch até 14 de agosto. Paralelamente, o Secure Firewall Management Center, que centraliza a administração de firewalls Cisco em ambientes corporativos, tinha uma credencial estática embutida em sua interface web, permitindo login remoto com uma conta de baixo privilégio. A companhia classifica o impacto como alto porque essa credencial pode ser encadeada para escalar privilégios e mapear a rede antes de um ataque mais amplo.
A plataforma de e-commerce corporativo da SAP teve uma falha crítica de execução remota de código explorada por atacantes em menos de três dias após a divulgação pública — prazo curto mesmo para os padrões observados neste mês. A companhia confirmou o uso da vulnerabilidade em uma campanha de ransomware derivada do Babuk, o mesmo grupo por trás do ataque ao vCenter da VMware. A recomendação é aplicar as notas de segurança com urgência e restringir a exposição da aplicação à internet, já que instâncias voltadas ao público são as mais visadas.
"Agosto mostrou que atacantes já não perdem mais tempo com o usuário final quando dá para ir direto no console que administra tudo. SharePoint, vCenter, NetScaler: em cada um desses casos, uma única falha entregou controle sobre um ambiente inteiro, e em mais de um caso o ataque começou antes de a empresa terminar de ler o boletim de segurança do fornecedor. Esse cenário mostra que a gestão de patches precisa acompanhar a velocidade das ameaças, e não seguir apenas ciclos mensais", afirma Wagner Farias, head de engenharia de ameaças da Redbelt Security.
O levantamento reforça uma tendência que a própria Redbelt já vinha observando em boletins anteriores: servidores de colaboração, appliances de acesso remoto e aplicações de negócio expostas à internet são explorados em intervalos cada vez menores após a divulgação pública das vulnerabilidades, o que exige das empresas uma resposta de patch quase imediata, e não mais alinhada a calendários mensais fixos.
Comentários
Postar um comentário