CISA alerta para exploração ativa de falhas críticas no macOS, SharePoint, vCenter e Microsoft IKE
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu quatro vulnerabilidades críticas no catálogo Known Exploited Vulnerabilities (KEV). A medida indica que existem evidências de uso dessas falhas em ataques reais, e não apenas demonstrações teóricas ou códigos de prova de conceito.
Os problemas afetam o Apple macOS, o Microsoft SharePoint, o VMware vCenter e as extensões do serviço Microsoft Internet Key Exchange (IKE). Embora os fabricantes já tenham disponibilizado correções, a presença das vulnerabilidades no catálogo reforça a necessidade de aplicar os patches com prioridade, especialmente em ambientes conectados à internet ou acessíveis por redes externas.
Três das quatro falhas receberam pontuação 9,8 no sistema CVSS, classificação que representa risco crítico. A vulnerabilidade restante obteve nota 9,1, também considerada de gravidade elevada.
Falha no macOS permite acesso indevido ao Screen Sharing
A CVE-2026-65400 afeta o Apple macOS e está relacionada a uma falha de autenticação. Um invasor conectado à mesma rede poderia explorar o problema para acessar o recurso Screen Sharing sem apresentar credenciais válidas.
Com pontuação CVSS 9,8, a vulnerabilidade já teria sido utilizada para instalar um minerador de Monero em sistemas comprometidos. Esse tipo de malware utiliza a capacidade de processamento do dispositivo para gerar criptomoedas, provocando lentidão, aumento no consumo de energia e possível degradação do hardware.
Além do impacto direto no desempenho, um acesso não autorizado ao compartilhamento de tela pode abrir caminho para outras ações maliciosas, como coleta de informações, instalação de ferramentas adicionais e movimentação dentro da rede corporativa.
SharePoint é alvo após divulgação de código de exploração
A CVE-2026-55040, com pontuação CVSS 9,1, está presente no Microsoft SharePoint. O defeito envolve um mecanismo de autenticação insuficientemente protegido e pode permitir que um invasor remoto, sem autorização, contorne uma barreira de segurança.
Relatos públicos indicam que a exploração ganhou força depois da publicação de um código proof-of-concept, conhecido como PoC. A divulgação de uma demonstração funcional costuma reduzir significativamente o esforço necessário para que outros criminosos reproduzam o ataque.
Até o momento, os responsáveis pelas campanhas contra o SharePoint não foram identificados. Ainda assim, servidores que hospedam dados corporativos, documentos internos e informações de colaboração devem ser tratados como alvos prioritários.
Vulnerabilidade no VMware vCenter alcança vítimas em 47 países
A CVE-2026-59310 é uma falha crítica de path traversal no VMware vCenter, plataforma da Broadcom usada para administrar infraestruturas virtualizadas. O problema recebeu CVSS 9,8 e pode ser explorado por um invasor que tenha acesso de rede ao servidor.
Em determinadas condições, a vulnerabilidade permite executar código arbitrário no sistema afetado. Como o vCenter centraliza o gerenciamento de máquinas virtuais, sua invasão pode comprometer diversos servidores e serviços simultaneamente.
A campanha foi relacionada a um possível grupo de ameaça persistente avançada, ou APT, ligado à China. Os invasores utilizaram um backdoor e binários chamados “reverse_ssh” para preservar o acesso aos ambientes comprometidos. Em pelo menos um incidente, a operação também levou à implantação de um ransomware baseado no Babuk.
A atividade atingiu 361 endereços IP exclusivos distribuídos por 47 países. A Alemanha registrou a maior quantidade de sistemas afetados, com 55 casos. Na sequência aparecem Estados Unidos, com 41; Turquia, com 38; Irã, com 26; e França, com 25.
Microsoft IKE apresenta risco de execução remota de código
A quarta vulnerabilidade é a CVE-2026-33824, que afeta extensões do Microsoft Internet Key Exchange. Classificada com CVSS 9,8, trata-se de um erro do tipo “double free”, associado ao gerenciamento inadequado de memória.
Um atacante não autenticado poderia explorar a falha pela rede para executar código remotamente. Esse cenário é especialmente preocupante em dispositivos responsáveis por conexões VPN, túneis seguros e comunicação entre redes corporativas.
Segundo análises da Unit 42, da Palo Alto Networks, a exploração foi atribuída a outro grupo de hackers de língua chinesa. A atividade ocorreu paralelamente a uma campanha automatizada de invasão apoiada por inteligência artificial, na qual os operadores utilizaram o DeepSeek. Ao mesmo tempo, os criminosos realizaram ações manuais contra vulnerabilidades já conhecidas, incluindo o problema no Microsoft IKE.
Por que a inclusão no catálogo KEV é importante
O catálogo KEV reúne vulnerabilidades para as quais há evidências concretas de exploração. Portanto, a inclusão não significa apenas que os problemas são tecnicamente graves: ela confirma que atacantes já estão tentando aproveitá-los contra sistemas reais.
Para órgãos civis federais dos Estados Unidos, o prazo estabelecido para aplicar as atualizações e seguir as orientações da BOD 26-04 termina em 21 de agosto de 2026. Empresas privadas e organizações de outros países não estão sujeitas necessariamente ao mesmo prazo, mas devem considerar a presença no catálogo um indicador de urgência.
A primeira medida recomendada é identificar todos os ativos que utilizam as versões vulneráveis. Inventários desatualizados podem fazer com que servidores esquecidos, interfaces administrativas e equipamentos legados permaneçam expostos mesmo depois da aplicação de correções nos sistemas principais.
Também é importante restringir o acesso de rede aos serviços afetados. Interfaces do vCenter, SharePoint, Screen Sharing e componentes relacionados ao IKE não devem ficar diretamente expostos à internet quando isso puder ser evitado. VPNs, listas de controle de acesso, segmentação de rede e autenticação multifator podem reduzir a superfície de ataque.
Após a atualização, as equipes de segurança devem procurar sinais de comprometimento. Entre os indícios estão contas criadas recentemente, alterações inesperadas em regras de firewall, processos desconhecidos, conexões de saída incomuns, arquivos associados a backdoors e uso anormal de recursos computacionais, especialmente em casos relacionados à mineração de criptomoedas.
No caso do VMware vCenter, vale revisar registros de autenticação, tarefas administrativas, criação ou alteração de máquinas virtuais e conexões SSH. Em ambientes SharePoint, devem ser analisados acessos anômalos, downloads em massa e mudanças não autorizadas em documentos ou configurações.
Organizações que não possam corrigir imediatamente os sistemas devem adotar medidas temporárias de contenção. Entre elas estão retirar os serviços da internet, limitar o acesso a endereços confiáveis, desabilitar funções desnecessárias e reforçar o monitoramento de eventos. Essas ações não substituem o patch, mas reduzem a probabilidade de exploração enquanto a atualização não é concluída.
A combinação de exploração ativa, códigos públicos, campanhas associadas a grupos avançados e uso de automação baseada em inteligência artificial torna essas vulnerabilidades particularmente perigosas. Por isso, a resposta deve envolver não apenas administradores de sistemas, mas também equipes de redes, segurança, continuidade de negócios e gestão de riscos.