O Diário do Analista
Vol. 2 (abr. 2026)  |  Pp. 425–426  |  ISSN 3086-6103

Múltiplas vulnerabilidades Juniuper Junos OS e Junos OS Evolved

Por: Adriano Cansian.
Publicado: 23 de outubro de 2026 às 17:49.
Identificador: ark:69775/c12552 .

Nos últimos 7 dias (16–23 de outubro de 2026), a Juniper publicou um conjunto relevante de atualizações para Junos OS e Junos OS Evolved, incluindo múltiplas vulnerabilidades críticas. A recomendação imediata é mapear as versões em produção e aplicar os respins de outubro de 2026.

Principais atualizações

  • A Juniper divulgou 17 avisos cobrindo mais de 150 vulnerabilidades em Junos OS e Junos OS Evolved, além de quatro falhas no Juniper Cloud-Native Router; cerca de duas dezenas foram classificadas como críticas.

  • Entre as falhas mais graves estão CVE-2026-33789, CVE-2026-101990, CVE-2026-33796 e CVE-2026-101986, todas com CVSS 3.1 = 9.8 e associadas a cenários de buffer overflow, authentication bypass e execução remota de código.

  • Também foram reportadas falhas que podem permitir execução arbitrária de código, condição de negação de serviço e obtenção de privilégios de root em dispositivos Juniper.

  • Um caso específico, CVE-2026-33792, foi corrigido em builds como 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3 e 26.2R1-S2, entre outras versões subsequentes.

Versões corrigidas

A tabela abaixo consolida os alvos mínimos de correção divulgados nos avisos recentes:

Branch Junos OS — build corrigido Junos OS Evolved — build corrigido
23.2 23.2R2-S7.7 23.2R2-S7.7-EVO
23.4 23.4R2-S8.13 23.4R2-S8.11-EVO
24.2 24.2R2-S5.5 24.2R2-S5.6-EVO
24.4 24.4R2-S5 24.4R2-S5-EVO
25.2 25.2R2-S2 25.2R2-S2-EVO
25.4 25.4R1-S3 25.4R1-S3-EVO
26.2 26.2R1-S2 26.2R1-S2-EVO

Para o Junos OS Evolved, também há correções específicas para 23.4X100-EVO, 25.2X100 a partir de D35-EVO e 25.4X300 a partir de D40-EVO.

Prioridade operacional

  1. Inventariar a frota: coletar modelo, plataforma, branch e build exato com show version, distinguindo RE, FPC e imagens Junos OS Evolved quando aplicável.

  2. Priorizar exposição de plano de gerência e BGP: os avisos recentes incluem falhas críticas associadas a execução remota, bypass de autenticação e overflow em daemons de roteamento; dispositivos com BGP configurado merecem triagem imediata.

  3. Aplicar os respins de outubro: para ambientes que não podem atualizar nesta janela, restringir acesso administrativo, revisar ACLs de gerência e monitorar logs de autenticação/roteamento, mas tratar isso apenas como mitigação temporária.

  4. Validar após atualização: confirmar o build instalado, reinicializações necessárias, integridade de sessões BGP e comportamento de HA/ISSU antes de considerar o incidente encerrado. A Junos oferece ISSU para reduzir interrupções durante a aplicação de patches.

Não há indicação pública, nos avisos localizados, de exploração ativa generalizada; ainda assim, a gravidade e o número de falhas justificam tratamento prioritário.

  1. Critical Vulnerabilities in Juniper Devices – https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-146/
  2. Juniper Networks security bulletin JSA112186: https://supportportal.juniper.net/JSA112186
  3. CVE.org record for CVE-2026-33792: https://www.cve.org/CVERecord?id=CVE-2026-33792
  4. CERT-BUND advisory WID-SEC-2026-3976: https://wid.cert-bund.de/content/public/content/b6a2aff7-6ffb-4195-8879-c9537ac004dd

Tags: , , , , .

Categorias: Alerta, CISA, CVE, Evolved, Juniper, Juno OS, Network, Patches, Roteador, Switch.

Adriano Cansian Adriano Mauro Cansian, Doutor em Física Computacional e Professor Associado e pesquisador da UNESP - Universidade Estadual Paulista, possui 30 anos de experiência em pesquisa, desenvolvimento e ensino de segurança cibernética. Fundador e coordenador do Laboratório ACME! Cybersecurity Research, e revisor das revistas "Computers & Security" e "International Journal of Forensic Computer Science", consultor e membro de vários comitês e organizações técnicas para promover a pesquisa em segurança da informação, além de atuar como voluntário em organizações de governança da Internet.