Pular para o conteúdo
Indene
pt

Alertas de segurança

CISA confirma exploração de falhas em F5, Check Point, WSO2 e Arista

Entre 22 e 24 de setembro de 2026, a CISA pôs no catálogo de falhas exploradas cinco vulnerabilidades críticas em VPN, gateway de API e acesso corporativo. Todas ficam na borda da rede e todas têm correção: o que falta é aplicar e provar que ninguém entrou antes.

Por Leonardo Araujo IevaAnalista de segurança ofensiva

5 min de leitura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Exploited flaws at the edge of the network.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Exploited flaws at the edge of the network.

A CISA, agência de cibersegurança do governo dos Estados Unidos, incluiu cinco vulnerabilidades críticas no catálogo de falhas exploradas (KEV) entre 22 e 24 de setembro de 2026. Elas atingem o F5 BIG-IP APM, gateways e servidores de gerência da Check Point, o WSO2 API Manager e o Arista VeloCloud Orchestrator. Todas ficam na borda da rede ou no controle de acesso, todas podem ser exploradas sem autenticação e todas já têm correção do fabricante.

O que se sabe

CVE produto gravidade no KEV desde prazo federal americano
CVE-2026-94127 F5 BIG-IP APM CVSS v3.1 9,8; v4.0 9,3 22 de setembro 25 de setembro
CVE-2026-85102 Check Point Security Gateway e Spark (VPN) CVSS v3.1 9,8 22 de setembro 25 de setembro
CVE-2026-93616 Check Point Security Management e servidores de log CVSS v3.1 9,8 22 de setembro 25 de setembro
CVE-2026-5430 WSO2 API Manager e produtos da mesma linha CVSS v3.1 10,0 (9,8 em instalação de um só inquilino) 24 de setembro 27 de setembro
CVE-2026-93952 Arista VeloCloud Orchestrator instalado no próprio ambiente CVSS v3.1 10,0; v4.0 9,5 22 de setembro 25 de setembro

As notas de gravidade são as dos fabricantes, registradas no NVD. O prazo vale para as agências civis do governo americano, mas serve de régua para qualquer empresa: a CISA só põe no catálogo falha com exploração confirmada.

F5 BIG-IP APM. Estouro de memória que permite executar código sem autenticação. Só existe quando o APM atua como servidor de autorização OAuth, com política de acesso e perfil OAuth no mesmo servidor virtual. Afeta as versões 21.1.0, 17.5.0 a 17.5.1 e 17.1.0 a 17.1.3. A F5 confirmou a exploração e publicou um hotfix para cada ramo; quem não pode atualizar pede ao suporte uma iRule de mitigação. A Shadowserver identifica mais de 14.700 endereços IP com assinatura de BIG-IP APM na internet, segundo o BleepingComputer, sem saber quantos estão corrigidos.

Check Point. A CVE-2026-85102 é uma validação indevida de certificado na negociação de VPN, que permite executar código no gateway. A correção existe desde 9 de setembro, e a Check Point observou uma onda de tentativas contra clientes Spark a partir de 12 de setembro. A CVE-2026-93616 fica no serviço web da gerência (Security Management, Multi-Domain, Log Server e SmartEvent) e permite enviar e executar scripts. A Check Point registrou poucos ataques pontuais em 23 de julho. Sem a correção, a recomendação é restringir a porta TCP 19009 a endereços confiáveis.

WSO2. O mecanismo de autenticação JWT aceita token assinado com algoritmo que não foi configurado, o que permite forjar acesso, inclusive de administrador. Afeta o API Manager de 4.1.0 a 4.6.0 e o API Control Plane, o Traffic Manager e o Universal Gateway 4.5.0 e 4.6.0. O aviso do fabricante é de 3 de maio de 2026. A watchTowr capturou o primeiro token forjado em 13 de setembro e afirma que ele dá acesso a todas as APIs publicadas, com as credenciais, chaves e segredos de cada aplicação cadastrada, segundo a SecurityWeek.

Arista VeloCloud Orchestrator. Falha de validação de entrada no orquestrador de SD-WAN instalado no próprio ambiente, que dá acesso a funções privilegiadas do servidor. Afeta as versões até 5.2.3.15, 6.1.3.7, 6.4.2.7 e 7.0.0.2 de cada ramo. A correção está em 5.2.3.16 e 6.4.2.8; as versões hospedadas pela Arista já foram corrigidas. Sem a correção, a Arista recomenda limitar a interface web a redes administrativas confiáveis.

Por que importa para instituições financeiras

Os quatro produtos ficam no caminho de entrada: a VPN do funcionário remoto, o servidor que emite o token de acesso, o gateway que expõe APIs a parceiros e o orquestrador que comanda a rede das agências. Quem controla um deles não precisa de senha para chegar ao resto. É o cenário de exploração de ativo exposto à internet, e no caso da WSO2 e da F5 também o de comprometimento de conta corporativa. A WSO2 atende bancos, governo, telecomunicações e logística, segundo a SecurityWeek.

Atualizar não prova que ninguém entrou. Para o BIG-IP, a própria CISA orienta aplicar primeiro a iRule, fazer a triagem forense e só depois instalar a correção definitiva, para não apagar vestígios. No WSO2, o risco continua depois do patch se as chaves das aplicações já tiverem sido lidas.

O mesmo vale para o terceiro: SD-WAN e VPN muitas vezes são operados por um provedor de rede. A pergunta ao fornecedor é a mesma que se faz à equipe interna.

O que fazer agora

  1. Verifique se a instituição, ou um fornecedor que opera a rede em nome dela, usa algum dos quatro produtos e se a interface de acesso ou de gerência está exposta à internet.
  2. Aplique a correção indicada no aviso de cada fabricante: hotfix da F5, SK1000117 e SK1000171 da Check Point, atualização do aviso WSO2-2026-5328 e versão corrigida do VeloCloud.
  3. Se não puder corrigir hoje, aplique a mitigação oficial: iRule da F5, porta TCP 19009 da gerência Check Point restrita a endereços confiáveis, interface do VeloCloud só na rede administrativa.
  4. Procure sinais de acesso indevido desde as datas de exploração conhecidas (23 de julho na gerência Check Point, 12 de setembro na VPN, 13 de setembro no WSO2) e troque as chaves e os segredos das aplicações publicadas no gateway de API.
  5. Registre a correção e a verificação com data e responsável: é a evidência que a auditoria vai pedir.

Referências

Assuntos

Continue lendo

Todas as notícias