A Juniper publicou, no ciclo de julho de 2026, um conjunto expressivo de boletins de segurança envolvendo o Junos OS, o Junos OS Evolved e plataformas associadas de gestão, incluindo Junos Space, Network Director e CTPView. Ao todo, o conjunto analisado reúne 26 boletins, com predominância de vulnerabilidades capazes de provocar negação de serviço, especialmente por crash ou indisponibilidade de processos críticos da infraestrutura de rede. Entre os processos afetados aparecem componentes relevantes como rpd, flowd, mgd, iked, l2ald, snmpd, fxpc, evo-pfemand, http-gk, além de elementos associados ao PFE e ao FPC. Embora grande parte dos itens esteja relacionada a condições específicas de DoS, alguns boletins merecem atenção imediata por envolverem exposição indevida de serviços, bypass de controles de segurança, falhas em mecanismos de filtragem e vulnerabilidades de memória em componentes de terceiros. O ponto central deste alerta é que nem todo DoS tem o mesmo impacto operacional. Um crash pontual em uma funcionalidade pouco utilizada não representa o mesmo risco que uma instabilidade no plano de controle, no plano de dados ou em serviços de gerência expostos a redes não confiáveis. Por isso, a priorização deve considerar não apenas o CVSS ou a descrição resumida do boletim, mas também o papel do ativo afetado, a exposição real do serviço, a topologia da rede e as funcionalidades habilitadas no ambiente.

Resumo executivo

O ciclo de julho deve ser tratado como relevante para ambientes que utilizam dispositivos SRX, MX, EX, QFX, PTX, especialmente quando há equipamentos de borda, roteadores de backbone, firewalls com serviços VPN, plataformas MX com SPC3 ou ambientes Junos OS Evolved. A recomendação é iniciar imediatamente a triagem dos itens classificados como prioridade crítica e alta, validando versões afetadas, serviços expostos, funcionalidades habilitadas e presença de interfaces de gerência acessíveis a partir de redes administrativas amplas, VPNs de terceiros, segmentos compartilhados ou internet. Quando a aplicação imediata de correções não for possível, devem ser adotadas medidas compensatórias, como isolamento da rede de gerência, restrição de acesso por ACL ou firewall filter, limitação de SNMP, NETCONF, SSH e telemetria a origens confiáveis, além de monitoramento ativo de crashes recorrentes nos processos afetados.

Critérios de priorização

Para orientar a análise operacional, os boletins foram agrupados em quatro níveis:

• P1, Crítico: itens com potencial de impacto severo, incluindo exposição indevida de serviços internos, possibilidade de execução de comandos fora do escopo autorizado ou vulnerabilidades de memória que exigem validação imediata do vetor de exploração.
• P2, Alto: vulnerabilidades que podem causar DoS persistente, degradação contínua até intervenção manual ou bypass de controles de segurança, como filtros, ACLs ou mecanismos de inspeção.
• P3, Médio: condições de DoS mais específicas, normalmente dependentes de tráfego, configuração ou funcionalidade particular, sem indicação imediata de persistência após reinício automático.
• P4, Pendente de decomposição: boletins agregados envolvendo múltiplas vulnerabilidades em plataformas de gestão. Esses itens não devem ser tratados automaticamente como baixa prioridade, pois sistemas de gestão concentram acesso administrativo e podem ampliar significativamente o raio de impacto em caso de comprometimento.

(Veja as referências de cada boletim no final desse artigo)

---

Itens de prioridade crítica

Os itens a seguir devem ser avaliados com prioridade máxima, principalmente em ambientes com exposição de gerência, uso de Junos OS Evolved ou presença de serviços administrativos acessíveis fora de redes rigidamente controladas.

JSA110088, CVE-2026-57028, Junos OS Evolved

O boletim descreve uma condição em que uma porta exposta indevidamente pode ser alcançada por um atacante. Esse tipo de falha deve ser tratado com severidade elevada, pois indica que um serviço potencialmente interno pode estar acessível de forma não prevista. A classificação como crítica se justifica pela combinação de acesso remoto, exposição de superfície administrativa ou interna e precedentes recentes envolvendo serviços indevidamente expostos em ambientes Juniper. Ainda assim, a análise deve ser cuidadosa: a existência de porta exposta não deve ser automaticamente descrita como RCE confirmado sem validação adicional do serviço, da autenticação exigida e das versões afetadas.

JSA110078, CVE-2026-33803, Junos OS e Junos OS Evolved

Este item segue padrão semelhante, envolvendo exposição indevida de porta ou serviço. A recomendação é validar imediatamente quais plataformas, versões e serviços são afetados, além de verificar se a porta correspondente está acessível em interfaces de gerência, segmentos internos amplos, redes de terceiros ou internet. Em ambientes bem segmentados, o risco pode ser reduzido por controles compensatórios. Em ambientes com gerência exposta, o risco deve ser tratado como crítico até confirmação técnica em contrário.

JSA110068, CVE-2020-7450, Junos OS Evolved

Este boletim envolve uma vulnerabilidade de heap buffer overflow associada à biblioteca libfetch, relacionada ao tratamento de URLs. Falhas de memória desse tipo exigem atenção, pois podem variar de crash controlado a impacto mais severo, dependendo do vetor de acionamento, do componente que consome a biblioteca e do contexto em que a entrada malformada é processada. A recomendação é tratar este item como prioridade crítica condicionada à exposição real do vetor. Caso a funcionalidade afetada seja acionável remotamente, especialmente sem autenticação ou por meio de serviços expostos, o item deve entrar em janela emergencial de correção.

JSA110077, CVE-2026-33802, Junos OS, EX Series

Este item descreve uma condição em que usuários não autorizados podem executar comando CLI capaz de impactar o serviço. A criticidade decorre da quebra de expectativa de autorização e do risco operacional associado à execução de comandos fora do escopo permitido. A prioridade deve ser ainda maior em ambientes com múltiplos operadores, acesso delegado, automações administrativas, contas compartilhadas ou integração com sistemas externos de operação.

---

Itens de prioridade alta

Os itens de prioridade alta incluem condições de DoS persistente, instabilidade em serviços essenciais e bypass de controles de segurança. Esses casos devem ser tratados na próxima janela de manutenção disponível, sem aguardar ciclos longos de atualização. O JSA110084 / CVE-2026-57024, afetando Junos OS em MX com SPC3 e SRX, merece atenção por envolver falhas repetidas de negociação VPN capazes de causar crash contínuo do processo iked. Em ambientes que dependem de VPN para conectividade corporativa, acesso remoto, interligação de sites ou túneis críticos, esse tipo de falha pode resultar em indisponibilidade operacional relevante. O JSA110090 / CVE-2026-57030, em SRX Series, envolve retenção indevida de sessões de flow, com possibilidade de exaustão de recursos. Esse cenário é particularmente sensível em firewalls de borda ou dispositivos com alto volume de sessões simultâneas. O JSA110091 / CVE-2026-57031, em MX Series, deve ser tratado com cuidado especial, pois envolve situação em que filtros de entrada podem não ser aplicados a assinantes em interfaces estáticas. Diferentemente de um DoS isolado, aqui há potencial de bypass de controle de segurança, o que pode alterar a postura efetiva de filtragem do ambiente. O JSA110093 / CVE-2026-57054, também em MX Series, envolve bypass de web filtering por URLs formatadas de maneira específica. Embora o impacto dependa do uso real dessa funcionalidade, falhas de filtragem devem ser priorizadas quando a política de segurança depende desse controle. O JSA110076 / CVE-2026-33801 afeta Junos OS e Junos OS Evolved e envolve crash do rpd por atualização BGP malformada. Por atingir o plano de controle de roteamento, este item merece atenção especial em roteadores de borda, redes de trânsito, ambientes com múltiplos peers BGP ou infraestrutura de backbone. O JSA110074 / CVE-2026-33799 envolve requisição SNMPv3 específica capaz de causar vazamento de memória e crash do snmpd. Embora SNMP deva estar restrito a redes de monitoramento confiáveis, ambientes com escopo de monitoramento amplo, comunidades legadas, integrações antigas ou exposição indevida devem priorizar a correção. O JSA110072 / CVE-2026-21901 envolve crash do mgd, processo de gerência, a partir de configuração específica de opção SSH. Como o mgd está associado à operação administrativa do equipamento, a prioridade aumenta quando há acesso SSH amplo, automação baseada em login remoto ou dependência intensiva de gerenciamento centralizado.

---

Itens de prioridade média

Os itens de prioridade média concentram condições de DoS mais específicas, geralmente dependentes de tráfego particular, comandos específicos ou funcionalidades habilitadas. Entre eles estão vulnerabilidades envolvendo l2ald, flowd, PFE, FPC, evo-pfemand, http-gk, fxpc e condições relacionadas a sFlow, telemetria, SIP INVITE malformado, multicast, IPv6 multicast, micro-BFD e atualizações ECMP repetidas. Esses itens não devem ser ignorados. A classificação como média indica apenas que a exploração tende a depender mais fortemente de contexto. Em equipamentos de borda, ambientes de alta disponibilidade, redes de backbone ou dispositivos que processam tráfego crítico, mesmo uma vulnerabilidade classificada como DoS pontual pode gerar impacto relevante. A recomendação é cruzar cada boletim com a configuração real do ambiente. Funcionalidades como sFlow, telemetry sensors, VPN compliance-check, web filtering, SIP, multicast, IPv6 multicast e micro-BFD devem ser verificadas explicitamente. Se estiverem habilitadas em equipamentos críticos, a prioridade operacional pode subir.

---

Plataformas de gestão: não tratar como baixa prioridade automaticamente

Os boletins referentes a CTPView, Junos Space e Network Director foram agrupados como pendentes de decomposição por envolverem múltiplas vulnerabilidades, possivelmente em componentes de terceiros ou interfaces web administrativas. Esse grupo inclui:

• JSA110067, CTPView, múltiplas vulnerabilidades corrigidas na versão 9.3R2-3;
• JSA110070, Junos Space, múltiplas vulnerabilidades corrigidas em 26.1R1 Patch V1;
• JSA110069, Network Director, múltiplas vulnerabilidades corrigidas na versão 7.1R3.

Atenção especial deve ser dada ao fato de que plataformas de gestão concentram credenciais, visibilidade operacional, automação e capacidade administrativa sobre diversos ativos de rede. Portanto, mesmo que um boletim agregado pareça menos urgente em uma leitura inicial, seu impacto real pode ser alto quando o sistema está integrado a muitos dispositivos ou acessível por múltiplos operadores. A recomendação é decompor cada boletim, extrair a lista completa de CVEs associadas, identificar componentes afetados, validar exposição da interface administrativa e aplicar correções com prioridade elevada quando a plataforma estiver acessível a partir de redes amplas, VPNs de terceiros ou ambientes compartilhados.

---

Recomendações operacionais

A primeira medida deve ser o inventário de todos os ativos Juniper por plataforma, versão e função operacional. Devem ser identificados dispositivos MX com SPC3, SRX, EX, QFX, PTX, ambientes Junos OS Evolved, além das plataformas Junos Space, Network Director e CTPView. Em seguida, a equipe deve cruzar o inventário com as versões afetadas e corrigidas de cada JSA. Esse cruzamento é essencial para evitar tanto a subestimação do risco quanto a aplicação desnecessária de correções em ativos não afetados. Dispositivos de borda, firewalls SRX, roteadores de backbone, equipamentos com peers BGP externos, plataformas com VPN ativa e sistemas com portas de gerência expostas devem ser priorizados. Em especial, SSH, NETCONF, SNMP, interfaces web, telemetria e serviços administrativos devem estar restritos a redes de gerência confiáveis. Para os itens críticos, a aplicação de patch deve ocorrer em janela emergencial sempre que houver exposição real do serviço afetado. Quando isso não for possível, devem ser aplicadas medidas compensatórias, como ACLs, firewall filters, segmentação da rede de gerência, bloqueio temporário de serviços não essenciais e limitação de acesso a origens confiáveis. Para os itens de prioridade alta, a recomendação é planejar correção na próxima janela de manutenção regular, sem aguardar o próximo ciclo trimestral ou semestral de atualização. Para os itens de prioridade média, a correção pode seguir o ciclo normal de patch management, desde que haja monitoramento ativo de logs e eventos de crash associados aos processos afetados. Devem ser observados sinais recorrentes envolvendo rpd, flowd, l2ald, snmpd, mgd, iked, FPC, PFE, fxpc, http-gk e evo-pfemand. Também é recomendável documentar a decisão de tratamento de cada boletim, incluindo versão afetada, versão corrigida, exposição identificada, medida compensatória aplicada, janela prevista de atualização e responsável pelo sign-off. Essa documentação é importante tanto para auditoria quanto para rastreabilidade de risco.

---

Conclusão

O ciclo de julho de 2026 da Juniper não deve ser interpretado apenas como uma coleção de falhas de DoS. Embora a negação de serviço seja o padrão dominante, o impacto real depende da posição do ativo na rede, da exposição das interfaces de gerência, das funcionalidades habilitadas e da criticidade do processo afetado. Falhas em rpd, flowd, iked, mgd, PFE e FPC podem atingir diretamente o plano de controle, o plano de dados ou a capacidade de administração dos equipamentos. Já os casos de exposição indevida de portas, bypass de filtros e execução de comandos fora do escopo autorizado exigem triagem imediata, mesmo antes da confirmação de cenários mais severos. A postura recomendada é objetiva: validar exposição, priorizar ativos críticos, aplicar correções onde o risco for confirmado e adotar controles compensatórios onde o patch não puder ser aplicado imediatamente. Em infraestrutura de rede, a diferença entre uma vulnerabilidade “teórica” e um incidente real costuma estar na exposição. E, quando o ativo afetado está na borda, no backbone ou no plano de gestão, essa diferença pode desaparecer rapidamente.

---

Referências

JSA	CVE	Produto	Descrição
JSA110088	CVE-2026-57028	Junos OS Evolved	Porta exposta indevidamente pode ser alcançada por um atacante
JSA110078	CVE-2026-33803	Junos OS e Junos OS Evolved	Porta exposta indevidamente pode ser alcançada por um atacante
JSA110068	CVE-2020-7450	Junos OS Evolved	Falha no tratamento de URLs na libfetch resulta em heap buffer overflow
JSA110077	CVE-2026-33802	Junos OS — EX Series	Usuários não autorizados podem executar comando CLI que impacta o serviço
JSA110084	CVE-2026-57024	Junos OS — MX c/ SPC3, SRX	Falhas repetidas de negociação VPN causam crash contínuo do iked (loop de crash = indisponibilidade persistente de VPN)
JSA110090	CVE-2026-57030	Junos OS — SRX Series	Sessões de flow não são liberadas, levando a DoS por exaustão de recursos
JSA110091	CVE-2026-57031	Junos OS — MX Series	Filtros de entrada (input filters) não são aplicados em assinantes de interfaces estáticas — bypass de controle de segurança
JSA110093	CVE-2026-57054	Junos OS — MX Series	Web filtering não bloqueia URLs formatadas de forma específica — bypass de filtro de conteúdo
JSA110076	CVE-2026-33801	Junos OS e Evolved	Atualização de rota BGP malformada causa crash do RPD (afeta plano de controle de roteamento)
JSA110074	CVE-2026-33799	Junos OS e Evolved	Requisição SNMPv3 específica causa vazamento de memória e crash do snmpd
JSA110072	CVE-2026-21901	Junos OS e Evolved	Configuração de opção SSH específica causa crash do mgd (processo de gerência)
JSA110085	CVE-2026-57025	EX / QFX / MX Series	l2ald (crash via comando show l2-learning)
JSA110083	CVE-2026-57023	MX c/ SPC3, SRX	flowd (pacote TCP malformado)
JSA110082	CVE-2026-57022	MX c/ SPC3, SRX	PFE (pacote de resposta a estabelecimento de conexão TCP)
JSA110086	CVE-2026-57026	MX c/ SPC3, SRX	flowd (SIP INVITE malformado)
JSA110075	CVE-2026-33800	MX Series (VC)	FPC (flapping de sessões micro-BFD)
JSA110079	CVE-2026-57019	MX Series	Reset de FPC por tráfego específico
JSA110073	CVE-2026-33794	Junos OS Evolved — PTX	PFE (atualizações ECMP repetidas)
JSA110089	CVE-2026-57029	Junos OS Evolved — QFX	evo-pfemand (mudança de reachability do coletor sFlow)
JSA110081	CVE-2026-57021	Junos OS — SRX	http-gk (com VPN compliance-check configurado)
JSA110092	CVE-2026-57032	Junos OS — EX	fxpc (assinatura em telemetry sensor path não suportado)
JSA110087	CVE-2026-57027	EX4100 / EX4400 (VC c/ sFlow)	FPC (tráfego multicast)
JSA110080	CVE-2026-57020	Junos OS — QFX10000	Flood multicast por tráfego IPv6 multicast em interfaces não-IRB