Falhas exploradas em Microsoft, VMware, Cisco e Citrix são reunidas em levantamento da Redbelt Security

Levantamento da Redbelt Security aponta exploração ativa de falhas em SharePoint, VMware vCenter, Cisco, Citrix NetScaler e SAP Um levantamento da Redbelt Security identificou, em agosto, uma sequência de vulnerabilidades críticas com exploração ativa em ferramentas utilizadas na administração de ambientes corporativos. Entre os sistemas afetados estão o SharePoint, da Microsoft, o VMware vCenter, firewalls da Cisco, appliances Citrix NetScaler e o SAP Commerce Cloud. O SharePoint se destacou pelo encadeamento de duas vulnerabilidades que permitiram evoluir de uma falha de autenticação para a execução remota de código. No ambiente de virtualização, uma vulnerabilidade no VMware vCenter foi explorada em uma campanha atribuída, com confiança moderada, a um grupo ligado à China. Pesquisadores mapearam cerca de 360 endereços IP comprometidos em 47 países, com instalação de ransomware derivado do Babuk diretamente em hosts ESXi. O levantamento também identificou exploração ativa em firewalls Cisco e appliances Citrix NetScaler, além de ataques contra o SAP Commerce Cloud. Em diferentes casos, o intervalo entre a divulgação pública de uma vulnerabilidade e o início da exploração foi de poucos dias. Segundo a Redbelt Security, o cenário observado em agosto reforça a atenção sobre sistemas de administração e gerenciamento. Em vez de concentrar os ataques apenas em equipamentos ou usuários individuais, as campanhas identificadas tiveram como alvo plataformas capazes de controlar grandes partes da infraestrutura corporativa. Uma cadeia de duas vulnerabilidades no SharePoint on-premises, da Microsoft, permitiu evoluir de uma etapa de personificação de usuários para o controle do servidor. A primeira falha está relacionada ao processo de validação de tokens JWT do SharePoint. A vulnerabilidade permite que um atacante não autenticado forje um token válido e se passe por qualquer usuário, inclusive administradores. Provas de conceito para essa etapa foram publicadas pela Rapid7 no início de agosto. A segunda vulnerabilidade está no Business Connectivity Services e envolve deserialização insegura. A exploração permite transformar o acesso obtido na primeira etapa em execução remota de código. A VulnCheck publicou uma prova de conceito para essa segunda vulnerabilidade em 24 de agosto. No dia seguinte, começaram ataques que encadeavam as duas falhas. A vulnerabilidade afeta as versões 2016, 2019 e Subscription Edition do SharePoint em instalações on-premises. A Microsoft já corrigiu o problema, mas empresas que não aplicaram as atualizações de julho e agosto continuam expostas. No VMware vCenter Server, uma vulnerabilidade de path traversal, corrigida pela Broadcom em 29 de julho, foi explorada em uma campanha atribuída, com confiança moderada, a um grupo ligado à China. Pesquisadores identificaram cerca de 360 endereços IP comprometidos em 47 países. Após obter execução como root no vCenter, os atacantes utilizaram uma ferramenta chamada reverse_ssh para manter acesso persistente ao plano de gerenciamento. A partir desse acesso, os invasores enumeraram máquinas virtuais, alcançaram hosts ESXi e implantaram um ransomware derivado do Babuk. Há relatos de que o acesso obtido pode sobreviver à aplicação do patch. Nesse cenário, a rotação de credenciais passa a ser uma medida relevante juntamente com a correção da vulnerabilidade. Citrix NetScaler registra exploração em appliances expostos à internet O Citrix NetScaler também esteve entre os sistemas com exploração ativa em agosto. Uma vulnerabilidade de estouro de memória pré-autenticação no NetScaler ADC e no NetScaler Gateway pode ser acionada por meio de um pacote SAML malformado e permitir execução remota de código sem a necessidade de credenciais. A empresa de pesquisa watchTowr demonstrou publicamente a vulnerabilidade. Na sequência, atacantes passaram a instalar web shells em appliances vulneráveis para manter acesso e executar comandos. Levantamentos independentes identificaram mais de 22 mil instâncias do NetScaler ADC expostas diretamente à internet. A Citrix também possui uma segunda vulnerabilidade, relacionada a bypass de autenticação. Consultorias de inteligência de ameaças avaliam que a exploração dessa falha é iminente, considerando o interesse já demonstrado por atacantes na mesma linha de produtos. Entre os equipamentos da Cisco, uma vulnerabilidade de tratamento de memória em firewalls ASA e FTD permite que um atacante remoto e não autenticado envie uma requisição HTTP manipulada ao serviço de VPN SSL e provoque a reinicialização do equipamento. A Cisco recomendou a aplicação do patch até 14 de agosto. Outro problema foi identificado no Secure Firewall Management Center, plataforma responsável pela administração centralizada de firewalls Cisco em ambientes corporativos. O sistema apresentava uma credencial estática embutida em sua interface web, permitindo login remoto com uma conta de baixo privilégio. A Cisco classifica o impacto como alto porque a credencial pode ser utilizada em uma cadeia de exploração para escalar privilégios e realizar o mapeamento da rede antes de um ataque mais amplo. O SAP Commerce Cloud registrou uma vulnerabilidade crítica de execução remota de código que passou a ser explorada por atacantes em menos de três dias após a divulgação pública. A SAP confirmou o uso da vulnerabilidade em uma campanha de ransomware derivada do Babuk, o mesmo grupo por trás do ataque ao vCenter da VMware. A recomendação é aplicar as notas de segurança com urgência e restringir a exposição da aplicação à internet, considerando que instâncias voltadas ao público estão entre os principais alvos. Para Wagner Farias, Head de engenharia de ameaças da Redbelt Security, os casos registrados em agosto mostram uma mudança na escolha dos alvos por parte dos atacantes. Wagner Farias, Head de Engenharia de Ameaças da Redbelt Security ' Agosto mostrou que atacantes já não perdem mais tempo com o usuário final quando dá para ir direto no console que administra tudo. SharePoint, vCenter, NetScaler: em cada um desses casos, uma única falha entregou controle sobre um ambiente inteiro, e em mais de um caso o ataque começou antes de a empresa terminar de ler o boletim de segurança do fornecedor. Esse cenário mostra que a gestão de patches precisa acompanhar a velocidade das ameaças, e não seguir apenas ciclos mensais ', afirma Wagner Farias, Head de engenharia de ameaças da Redbelt Security. Sobre a Redbelt Security Fundada em 2009, a Redbelt Security é uma consultoria especializada em Segurança da Informação. A marca atua com Serviços Gerenciados de Segurança (MSS), Security Operations Center (SOC), Offensive Security, Threat Intelligence, Governança, Riscos & Compliance (GRC), e suporte especializado no gerenciamento de ambientes de TI e ações preventivas contra novas ameaças, contando com uma equipe altamente especializada e certificada. A Maturidade Regulatória do PIX – Da Engenharia Social ao Rastreamento Multicamadas e a Nova Dinamica do MED V/Cert no Febraban Tech 2026: tecnologia, negócios e conexões com o mercado financeiro CERT.br alerta para riscos no uso de IA e orienta sobre privacidade, fraudes e segurança Quando o risco cibernético se torna um problema do CEO O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões. Conheça a coluna Cibersegurança.