Cisco

A Cisco lançou atualizações para uma vulnerabilidade de alta severidade no Secure Workload, identificada como CVE-2026-20223, com uma pontuação CVSS de 10.0. Essa falha permite que um atacante remoto e não autenticado acesse dados sensíveis devido à validação e autenticação insuficientes ao acessar endpoints da API REST. Segundo a Cisco, um atacante pode explorar essa vulnerabilidade enviando uma solicitação de API manipulada para um endpoint afetado, o que pode resultar na leitura de informações confidenciais e na realização de alterações de configuração com privilégios de administrador do site. A vulnerabilidade afeta o Cisco Secure Workload Cluster Software em implementações SaaS e locais, independentemente da configuração do dispositivo, e não há soluções alternativas disponíveis. As versões afetadas incluem o Cisco Secure Workload Release 3.9 e anteriores, com correções disponíveis nas versões 3.10.8.3 e 4.0.3.17. A Cisco identificou a falha durante testes internos de segurança e não há evidências de exploração ativa até o momento.

A Cisco divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica no Cisco Secure Workload, anteriormente conhecido como Cisco Tetration. Essa falha, identificada como CVE-2026-20223, permite que atacantes não autenticados obtenham privilégios de Site Admin através de APIs REST internas do Secure Workload. A vulnerabilidade decorre de uma validação e autenticação insuficientes ao acessar os endpoints da API, possibilitando que um atacante envie uma solicitação API manipulada para um endpoint afetado. A exploração bem-sucedida dessa falha pode permitir que o invasor leia informações sensíveis e faça alterações de configuração em diferentes inquilinos com os privilégios de um usuário Site Admin. A Cisco não encontrou evidências de que essa vulnerabilidade tenha sido explorada antes da divulgação do aviso. Para mitigar o problema, a empresa lançou atualizações de software para clientes on-premises e já corrigiu a falha na versão SaaS do Cisco Secure Workload. A situação é alarmante, especialmente considerando que a Cisco já havia alertado sobre outra vulnerabilidade crítica em sua plataforma Catalyst SD-WAN, que estava sendo explorada ativamente. Com um histórico de 91 vulnerabilidades da Cisco sendo exploradas nos últimos cinco anos, a necessidade de atenção redobrada por parte das equipes de segurança é evidente.

O cenário de cibersegurança apresenta uma série de incidentes preocupantes, incluindo a exploração ativa de uma vulnerabilidade no Microsoft Exchange Server, identificada como CVE-2026-42897, com um CVSS de 8.1. Essa falha, que permite spoofing devido a um erro de cross-site scripting, está sendo explorada, embora detalhes sobre os atacantes e a extensão dos ataques ainda sejam desconhecidos. Além disso, um grupo de ameaças sofisticadas, UAT-8616, está atacando o Cisco Catalyst SD-WAN Controller, utilizando uma falha crítica de bypass de autenticação (CVE-2026-20182) para obter acesso não autorizado e escalar privilégios. Outro ataque significativo foi atribuído ao TeamPCP, que comprometeu pacotes npm, visando a cadeia de suprimentos de software para implantar malware e roubar credenciais. Esses incidentes destacam a importância de uma vigilância constante e de ações rápidas para mitigar riscos. Por fim, a Apple e o Google estão implementando mensagens RCS com criptografia de ponta a ponta, enquanto a Instructure chegou a um acordo com os atacantes do grupo ShinyHunters após um ataque que comprometeu dados de instituições educacionais.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma nova vulnerabilidade crítica no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o Cisco Catalyst SD-WAN Controller. A falha, identificada como CVE-2026-20182, permite que atacantes remotos não autenticados contornem a autenticação e obtenham privilégios administrativos no sistema. Com uma pontuação de 10.0 no sistema CVSS, a vulnerabilidade é considerada de máxima gravidade. A Cisco alertou que a exploração ativa dessa falha está ligada a um grupo de ameaças identificado como UAT-8616, que também está por trás da exploração de outras vulnerabilidades relacionadas. Os atacantes têm utilizado códigos de exploração disponíveis publicamente para implantar shells web, permitindo a execução de comandos arbitrários. A CISA exige que as agências do governo federal dos EUA remediem a vulnerabilidade até 17 de maio de 2026. Dada a gravidade da situação, a Cisco recomenda que os clientes sigam as orientações para proteger seus ambientes.

A Cisco alertou sobre uma falha crítica de bypass de autenticação no Catalyst SD-WAN Controller, identificada como CVE-2026-20182, que está sendo ativamente explorada em ataques zero-day. Com uma gravidade máxima de 10.0, a vulnerabilidade afeta tanto o Cisco Catalyst SD-WAN Controller quanto o Cisco Catalyst SD-WAN Manager em implementações locais e na nuvem. A falha se origina de um mecanismo de autenticação de peering que não funciona corretamente, permitindo que atacantes enviem requisições manipuladas para obter privilégios administrativos. Uma vez explorada, a vulnerabilidade permite que o invasor acesse o sistema como um usuário interno de alto privilégio, podendo manipular a configuração da rede SD-WAN. A Cisco detectou a exploração da falha em maio, mas não divulgou detalhes sobre os métodos utilizados. A empresa recomenda que os administradores verifiquem os logs do SD-WAN Controller em busca de eventos de peering não autorizados e restrinjam o acesso às interfaces de gerenciamento. A CISA incluiu a CVE-2026-20182 no catálogo de vulnerabilidades conhecidas e ordenou que agências federais atualizassem os dispositivos afetados até 17 de maio de 2026.

A Cisco divulgou atualizações para corrigir uma falha de autenticação crítica no Catalyst SD-WAN Controller, identificada como CVE-2026-20182, que possui uma pontuação CVSS de 10.0. Essa vulnerabilidade permite que um atacante remoto não autenticado contorne a autenticação e obtenha privilégios administrativos no sistema afetado. O problema está relacionado ao mecanismo de autenticação de peering, que pode ser explorado através do envio de requisições manipuladas. A exploração bem-sucedida da falha permite que o invasor acesse o sistema como um usuário interno de alto privilégio, possibilitando a manipulação da configuração da rede SD-WAN. A vulnerabilidade afeta diversas implementações, incluindo a Cisco SD-WAN Cloud e a versão para governo (FedRAMP). A Cisco alertou sobre a exploração limitada da falha em maio de 2026 e recomendou que os clientes apliquem as atualizações imediatamente, especialmente aqueles que têm sistemas expostos à internet. Além disso, a empresa sugere que os clientes auditem logs de autenticação para identificar acessos não autorizados.

A Cisco lançou atualizações de segurança para corrigir uma vulnerabilidade de negação de serviço (DoS) nos sistemas Crosswork Network Controller (CNC) e Network Services Orchestrator (NSO). Essa falha, identificada como CVE-2026-20188, é considerada de alta severidade e resulta de uma limitação inadequada na taxa de conexões de rede recebidas. A vulnerabilidade pode ser explorada remotamente por agentes de ameaça não autenticados, levando à interrupção dos sistemas CNC e NSO não corrigidos. A exploração bem-sucedida pode esgotar os recursos de conexão disponíveis, tornando os sistemas inoperantes e exigindo um reinício manual para recuperação. A Cisco recomenda fortemente que os clientes atualizem para as versões corrigidas mencionadas em seu aviso. Embora a CVE-2026-20188 ainda não tenha sido explorada ativamente, a empresa já enfrentou outras vulnerabilidades de DoS que foram utilizadas em ataques. A situação destaca a importância de manter os sistemas atualizados para evitar possíveis interrupções nos serviços e garantir a continuidade das operações.

Agências de cibersegurança dos EUA e do Reino Unido emitiram um alerta sobre um malware personalizado chamado Firestarter, que persiste em dispositivos Cisco Firepower e Secure Firewall que utilizam o software Adaptive Security Appliance (ASA) ou Firepower Threat Defense (FTD). O malware, atribuído a um ator de ameaças conhecido como UAT-4356, é utilizado em campanhas de ciberespionagem e permite acesso remoto contínuo mesmo após a aplicação de patches. A vulnerabilidade inicial explorada foi identificada como CVE-2025-20333, relacionada a uma falha de autorização, e CVE-2025-20362, um bug de estouro de buffer.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) revelou que um dispositivo Cisco Firepower de uma agência federal foi comprometido em setembro de 2025 por um malware chamado FIRESTARTER. Este malware é considerado uma backdoor que permite acesso remoto e controle, sendo parte de uma campanha de um ator de ameaça persistente avançada (APT). O ataque explorou vulnerabilidades críticas, como CVE-2025-20333 e CVE-2025-20362, que já foram corrigidas, mas dispositivos comprometidos antes da aplicação dos patches permanecem vulneráveis. O FIRESTARTER pode persistir mesmo após atualizações de firmware, manipulando a sequência de inicialização do dispositivo. Além disso, um kit de ferramentas pós-exploração chamado LINE VIPER foi utilizado para executar comandos e capturar pacotes. A Cisco recomenda a reimagens dos dispositivos afetados para remover completamente o malware. O incidente destaca a crescente complexidade das redes de ataque, especialmente com a utilização de dispositivos IoT e roteadores comprometidos por grupos patrocinados pelo estado, como os hackers chineses. Isso levanta preocupações sobre a segurança de infraestruturas críticas e a necessidade de vigilância constante.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) alertou as agências governamentais sobre uma vulnerabilidade no Catalyst SD-WAN Manager, que está sendo ativamente explorada em ataques. A falha, identificada como CVE-2026-20133, permite que atacantes remotos não autenticados acessem informações sensíveis em dispositivos não corrigidos. A Cisco já havia lançado um patch para essa vulnerabilidade em fevereiro, mas a CISA agora exige que as agências federais apliquem as correções até 24 de abril. A vulnerabilidade é resultado de restrições insuficientes de acesso ao sistema de arquivos, permitindo que um invasor acesse a API do sistema afetado. Além disso, a CISA incluiu essa falha em seu Catálogo de Vulnerabilidades Conhecidas (KEV) devido a evidências de exploração ativa. A Cisco ainda não confirmou a exploração da falha, mas já havia identificado outras vulnerabilidades críticas em seus produtos. A situação destaca a importância de uma resposta rápida a vulnerabilidades em sistemas amplamente utilizados, como os da Cisco, que são comuns em diversas organizações.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu recentemente oito novas vulnerabilidades em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando três falhas críticas que afetam o Cisco Catalyst SD-WAN Manager. Entre as vulnerabilidades, a CVE-2025-32975 se destaca com um escore CVSS de 10.0, permitindo que atacantes se façam passar por usuários legítimos sem credenciais válidas. Outras falhas incluem a CVE-2023-27351, que permite a bypass de autenticação no PaperCut NG/MF, e a CVE-2024-27199, que possibilita ações administrativas limitadas no JetBrains TeamCity. A CISA recomenda que as agências do governo federal dos EUA abordem as vulnerabilidades da Cisco até 23 de abril de 2026, e as demais até 4 de maio de 2026. A exploração ativa dessas falhas foi observada, com grupos de ameaças conhecidos, como Lace Tempest, utilizando-as em ataques de ransomware. A situação é crítica, pois as falhas podem comprometer a segurança de sistemas amplamente utilizados, exigindo atenção imediata das organizações para evitar possíveis incidentes de segurança.

A Cisco lançou atualizações de segurança para corrigir quatro vulnerabilidades críticas, incluindo uma falha de validação de certificado no Webex Services, que exige ação adicional dos clientes. A vulnerabilidade, identificada como CVE-2026-20184, afeta a integração de autenticação única (SSO) com o Control Hub, permitindo que atacantes remotos sem privilégios se façam passar por qualquer usuário. A Cisco alertou que os clientes que utilizam a integração SSO devem fazer o upload de um novo certificado SAML para evitar interrupções no serviço. Além disso, três outras falhas críticas foram corrigidas na plataforma Identity Services Engine (ISE), que poderiam permitir a execução de comandos arbitrários no sistema operacional, embora a exploração exija credenciais administrativas. A empresa também abordou 10 falhas de severidade média que podem ser exploradas para contornar autenticações e escalar privilégios. A Cisco não encontrou evidências de que essas vulnerabilidades tenham sido exploradas em ataques. O alerta é especialmente relevante para organizações que utilizam as soluções da Cisco, considerando a possibilidade de impactos significativos em suas operações.

A Cisco anunciou a correção de quatro vulnerabilidades críticas que afetam seus serviços de Identity Services e Webex, as quais podem permitir a execução de código arbitrário e a impersonificação de usuários. As falhas incluem a CVE-2026-20184, que envolve uma validação inadequada de certificados na integração do single sign-on (SSO) com o Control Hub do Webex, permitindo que atacantes remotos não autenticados se façam passar por qualquer usuário. Outras vulnerabilidades, como a CVE-2026-20147, permitem que atacantes autenticados com credenciais administrativas executem código remotamente ao enviar requisições HTTP manipuladas. As CVEs 2026-20180 e 2026-20186 também apresentam falhas de validação que podem permitir a execução de comandos arbitrários em sistemas afetados. A Cisco recomenda que os usuários atualizem suas versões para evitar possíveis explorações, embora não tenha conhecimento de ataques ativos relacionados a essas vulnerabilidades. Para a CVE-2026-20184, não é necessária ação do cliente, mas os usuários de SSO devem carregar um novo certificado SAML no Control Hub.

A Cisco divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas e de alta severidade, incluindo uma falha de bypass de autenticação no Integrated Management Controller (IMC), que permite que atacantes obtenham acesso administrativo. Conhecido como CIMC, o Cisco IMC é um módulo de hardware presente nas placas-mãe dos servidores Cisco, oferecendo gerenciamento fora de banda para os servidores UCS C-Series e E-Series. A vulnerabilidade, rastreada como CVE-2026-20093, foi identificada na funcionalidade de alteração de senha do Cisco IMC e pode ser explorada remotamente por atacantes não autenticados. A Cisco recomenda fortemente que os clientes atualizem para o software corrigido, uma vez que não existem soluções alternativas para mitigar essa falha de segurança. Além disso, a empresa lançou patches para outra vulnerabilidade crítica (CVE-2026-20160) no Smart Software Manager On-Prem, que pode permitir a execução remota de código por atacantes sem privilégios. A Cisco também enfrentou um incidente de segurança em seu ambiente de desenvolvimento interno, onde credenciais foram comprometidas durante um ataque à cadeia de suprimentos. Diante disso, a atualização imediata dos sistemas é essencial para evitar possíveis explorações.

A Cisco lançou atualizações para corrigir uma falha de segurança crítica no Integrated Management Controller (IMC), identificada como CVE-2026-20093, que permite a um atacante remoto não autenticado contornar a autenticação e obter acesso ao sistema com privilégios elevados. A vulnerabilidade, que possui uma pontuação CVSS de 9.8, resulta de um manuseio incorreto de solicitações de alteração de senha. Um atacante pode explorar essa falha enviando uma solicitação HTTP manipulada para um dispositivo afetado, o que pode permitir a alteração de senhas de qualquer usuário, incluindo administradores.

A Cisco foi alvo de um ataque cibernético que resultou no roubo de código-fonte de seus produtos e de clientes, após a exploração de credenciais roubadas em um ataque à cadeia de suprimentos do Trivy. Os atacantes utilizaram um plugin malicioso do GitHub Action, comprometendo o ambiente de desenvolvimento interno da empresa. A violação afetou diversas estações de trabalho e sistemas de desenvolvimento, levando à clonagem de mais de 300 repositórios do GitHub, incluindo códigos de produtos de inteligência artificial. Embora a Cisco tenha contido a violação e isolado os sistemas afetados, a empresa está se preparando para as consequências de ataques subsequentes relacionados ao LiteLLM e Checkmarx. Além disso, chaves da AWS foram roubadas e utilizadas para atividades não autorizadas em algumas contas da Cisco. O ataque está vinculado ao grupo de ameaças TeamPCP, que já havia realizado ataques semelhantes em plataformas de desenvolvimento de código. A Cisco ainda não respondeu a solicitações de comentários sobre o incidente.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências federais corrijam uma vulnerabilidade de alta severidade, identificada como CVE-2026-20131, no Cisco Secure Firewall Management Center (FMC) até o dia 22 de março. A Cisco divulgou um boletim de segurança no dia 4 de março, alertando os administradores de sistemas sobre a necessidade de aplicar as atualizações de segurança imediatamente, uma vez que não existem soluções alternativas disponíveis. A falha permite que um atacante remoto não autenticado execute código Java arbitrário como root em dispositivos afetados, devido à deserialização insegura de um fluxo de bytes Java fornecido pelo usuário. A situação se agrava com a confirmação de que a vulnerabilidade está sendo ativamente explorada por grupos de ransomware, como o Interlock, que a utilizam desde o final de janeiro. A CISA incluiu essa vulnerabilidade em seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), destacando seu uso em campanhas de ransomware. Embora a ordem da CISA se aplique a agências federais, recomendações semelhantes são válidas para empresas privadas e governos estaduais e locais, dada a gravidade da situação.

A Amazon Threat Intelligence alertou sobre uma campanha ativa de ransomware chamada Interlock, que está explorando uma falha crítica de segurança no Cisco Secure Firewall Management Center (FMC) Software, identificada como CVE-2026-20131, com uma pontuação CVSS de 10.0. Essa vulnerabilidade permite que atacantes remotos não autenticados contornem a autenticação e executem código Java arbitrário como root em dispositivos afetados. A falha foi explorada como um zero-day desde 26 de janeiro de 2026, antes de ser divulgada publicamente pela Cisco. A campanha de Interlock utiliza uma cadeia de ataque complexa, que inclui scripts de reconhecimento em PowerShell, trojans de acesso remoto personalizados e técnicas de evasão. A Amazon compartilhou suas descobertas com a Cisco para ajudar a proteger os clientes. Diante da exploração ativa da falha, os usuários são aconselhados a aplicar patches imediatamente e realizar avaliações de segurança. A Cisco atualizou seu aviso sobre a vulnerabilidade, recomendando a atualização para uma versão corrigida do software.

A Cisco identificou duas falhas de segurança no Catalyst SD-WAN Manager, software de gerenciamento de rede, que estão sendo ativamente exploradas. As vulnerabilidades, identificadas como CVE-2026-20128 e CVE-2026-20122, exigem que os administradores atualizem seus dispositivos vulneráveis. A CVE-2026-20122 é uma falha de alta severidade que permite a sobrescrita arbitrária de arquivos, acessível apenas a atacantes remotos com credenciais de leitura e acesso à API. Já a CVE-2026-20128 é uma falha de severidade média que requer credenciais válidas no sistema alvo. Além disso, a Cisco também destacou uma vulnerabilidade crítica (CVE-2026-20127) que permite a bypass de autenticação, permitindo que atacantes sofisticados comprometam controladores e adicionem dispositivos maliciosos às redes desde 2023. A CISA emitiu uma diretiva de emergência, exigindo que agências federais realizem inventários e apliquem atualizações. Recentemente, a Cisco lançou atualizações de segurança para corrigir falhas em seu software Secure Firewall Management Center, que também podem ser exploradas remotamente. É crucial que as organizações que utilizam esses sistemas realizem as atualizações necessárias para evitar compromissos de segurança.

A Cisco divulgou que duas vulnerabilidades críticas no Catalyst SD-WAN Manager estão sendo ativamente exploradas. As falhas, identificadas como CVE-2026-20122 e CVE-2026-20128, têm pontuações CVSS de 7.1 e 5.5, respectivamente. A primeira permite que um atacante remoto autenticado sobrescreva arquivos arbitrários no sistema, enquanto a segunda possibilita que um atacante local obtenha privilégios de usuário do Data Collection Agent (DCA). Para mitigar os riscos, a Cisco lançou patches para diversas versões do software, recomendando que os usuários atualizem imediatamente para versões corrigidas e adotem medidas de segurança adicionais, como restringir o acesso a redes não seguras e monitorar o tráfego de logs. A empresa também alertou sobre uma falha crítica anterior (CVE-2026-20127) que foi explorada por um ator de ameaças sofisticado, destacando a necessidade urgente de atenção à segurança em ambientes corporativos. As vulnerabilidades afetam um produto amplamente utilizado, o que aumenta a relevância para empresas que dependem da tecnologia da Cisco.

A Cisco divulgou atualizações de segurança para corrigir duas vulnerabilidades de gravidade máxima em seu software Secure Firewall Management Center (FMC). Essas falhas, identificadas como CVE-2026-20079 e CVE-2026-20131, podem ser exploradas remotamente por atacantes não autenticados. A primeira vulnerabilidade permite o bypass de autenticação, possibilitando que atacantes obtenham acesso root ao sistema operacional subjacente. A segunda, uma vulnerabilidade de execução remota de código (RCE), permite a execução de código Java arbitrário como root em dispositivos não corrigidos. Ambas as falhas afetam o Cisco Secure FMC, mas a CVE-2026-20131 também impacta o Cisco Security Cloud Control (SCC). Até o momento, não há evidências de que essas vulnerabilidades tenham sido exploradas em ataques. A Cisco também corrigiu outras falhas de segurança, incluindo 15 de alta gravidade em diversos produtos. A empresa já havia alertado sobre outra vulnerabilidade crítica em agosto, que permitia a injeção de comandos shell por atacantes não autenticados. Dada a gravidade das falhas, é crucial que as organizações atualizem seus sistemas o mais rápido possível.

Nesta semana, o cenário de cibersegurança apresenta uma série de incidentes e vulnerabilidades que refletem a evolução das ameaças digitais. Um dos principais destaques é a exploração ativa de uma falha crítica no Cisco Catalyst SD-WAN, identificada como CVE-2026-20127, que permite a atacantes não autenticados obterem privilégios administrativos. Além disso, a Anthropic acusou três empresas chinesas de realizar ataques em larga escala para extrair informações de seu modelo de IA, enquanto o Google desmantelou a infraestrutura de um grupo de espionagem cibernética ligado à China, conhecido como UNC2814, que visava organizações globais. Outro ponto crítico é a exposição de chaves de API do Google Cloud, que poderiam ser utilizadas para acessar dados sensíveis. Por fim, um novo grupo de ameaças, UAT-10027, tem como alvo os setores de educação e saúde nos EUA, utilizando um backdoor chamado Dohdoor. Esses eventos ressaltam a necessidade de vigilância constante e atualização de sistemas para mitigar riscos.

Uma nova vulnerabilidade de alta severidade foi descoberta nos sistemas Cisco Catalyst SD-WAN Controller e SD-WAN Manager, permitindo que atacantes remotos não autenticados contornem a autenticação e obtenham privilégios administrativos. A falha, identificada como CVE-2026-20127, possui uma pontuação CVSS de 10.0, indicando seu potencial crítico. A exploração bem-sucedida pode permitir que um invasor acesse configurações da rede SD-WAN, comprometendo a segurança de sistemas em diversas configurações, incluindo ambientes on-premises e na nuvem. A Cisco já lançou correções para várias versões afetadas e recomenda que os usuários auditem logs de autenticação para identificar acessos não autorizados. A Australian Cyber Security Centre (ASD-ACSC) alertou que a exploração dessa vulnerabilidade está em andamento desde 2023, com um grupo de ameaças sofisticadas, identificado como UAT-8616, utilizando-a para comprometer redes SD-WAN. A CISA também emitiu uma diretiva de emergência exigindo que agências federais apliquem as correções rapidamente, destacando a urgência da situação.

A Cisco alertou sobre uma vulnerabilidade crítica de bypass de autenticação, identificada como CVE-2026-20127, que está sendo ativamente explorada em ataques zero-day. Essa falha afeta o Cisco Catalyst SD-WAN Controller e o Cisco Catalyst SD-WAN Manager, tanto em instalações locais quanto na nuvem. A vulnerabilidade permite que atacantes remotos comprometam controladores e adicionem pares maliciosos a redes-alvo. A falha está relacionada a um mecanismo de autenticação de peering que não funciona corretamente, permitindo que um invasor envie solicitações manipuladas e obtenha acesso a contas de usuário privilegiadas. Com esse acesso, o atacante pode manipular a configuração da rede SD-WAN. A Cisco recomenda que as organizações atualizem seus sistemas imediatamente, pois não há soluções alternativas que mitiguem completamente o problema. Além disso, a CISA emitiu uma diretiva de emergência exigindo que agências federais realizem inventários e apliquem patches até 27 de fevereiro de 2026, dada a gravidade da situação. A exploração da vulnerabilidade representa uma ameaça iminente para redes federais e privadas, e as organizações devem investigar atividades maliciosas em seus sistemas expostos à internet.

A Cisco anunciou a correção de uma vulnerabilidade crítica de execução remota de código, identificada como CVE-2026-20045, que estava sendo explorada ativamente como um zero-day. Essa falha afeta diversos produtos da Cisco, incluindo o Unified Communications Manager e o Webex Calling. A vulnerabilidade se origina de uma validação inadequada de entradas fornecidas pelo usuário em requisições HTTP, permitindo que um atacante envie requisições manipuladas para a interface de gerenciamento web de dispositivos afetados. O sucesso na exploração pode conceder acesso ao sistema operacional subjacente e, posteriormente, privilégios de root. Com uma pontuação CVSS de 8.2, a Cisco classificou a vulnerabilidade como crítica, dada a possibilidade de acesso root em servidores. A empresa disponibilizou atualizações de software e patches específicos para diferentes versões dos produtos afetados. A Cisco também alertou que não existem soluções alternativas para mitigar a falha sem a instalação das atualizações. A CISA dos EUA incluiu a CVE-2026-20045 em seu catálogo de vulnerabilidades conhecidas exploradas, estabelecendo um prazo até 11 de fevereiro de 2026 para que agências federais realizem as atualizações necessárias.

A Cisco divulgou novos patches para corrigir uma vulnerabilidade de segurança classificada como “crítica”, afetando diversos produtos de Comunicações Unificadas e o Webex Calling Dedicated Instance. Identificada como CVE-2026-20045, a falha possui uma pontuação CVSS de 8.2 e permite que um atacante remoto não autenticado execute comandos arbitrários no sistema operacional subjacente de dispositivos vulneráveis. A vulnerabilidade decorre de uma validação inadequada de entradas fornecidas pelo usuário em requisições HTTP. Um atacante pode explorar essa falha enviando requisições HTTP manipuladas para a interface de gerenciamento web do dispositivo afetado, obtendo acesso ao sistema operacional e podendo elevar privilégios a root. A Cisco já está ciente de tentativas de exploração dessa vulnerabilidade e recomenda que os clientes atualizem para versões corrigidas até 11 de fevereiro de 2026, conforme exigido pela CISA. A falha impacta produtos como Unified CM Session Management Edition, Unified CM IM & Presence Service, Unity Connection e Webex Calling Dedicated Instance. Não há soluções alternativas disponíveis no momento.

A Cisco anunciou a correção de uma vulnerabilidade crítica em seus roteadores, identificada como CVE-2025-20393, que permitia a execução remota de códigos no AsyncOS, afetando o Gateway de E-mail Seguro (SEG) e o Gerenciador Seguro de Web e E-mail (SEWM). A falha foi explorada por grupos de hackers chineses, incluindo UAT-9686, APT41 e UNC5174, durante pelo menos cinco semanas, desde novembro de 2025. Os atacantes conseguiram instalar mecanismos de persistência, como uma backdoor chamada Aquashell, que permitia o controle contínuo dos sistemas comprometidos. A Cisco recomenda que as organizações afetadas atualizem seus softwares imediatamente e contatem seu Centro de Assistência Técnica para suporte. Embora a empresa tenha corrigido a falha, não divulgou quantas instâncias foram comprometidas ou o número de organizações afetadas, o que levanta preocupações sobre a extensão do ataque e a segurança dos dados das vítimas.

A Cisco lançou um patch para uma vulnerabilidade crítica de zero-day no Cisco AsyncOS, que estava sendo explorada em ataques a dispositivos Secure Email Gateway (SEG) e Secure Email and Web Manager (SEWM) desde novembro de 2025. A falha, identificada como CVE-2025-20393, permite que atacantes executem comandos arbitrários com privilégios de root no sistema operacional dos dispositivos afetados, especialmente quando a funcionalidade de Spam Quarantine está habilitada e exposta à Internet. A Cisco Talos, equipe de inteligência de ameaças da empresa, atribui os ataques a um grupo de hackers chinês conhecido como UAT-9686, que utilizou ferramentas como AquaShell e AquaTunnel para manter acesso persistente e ocultar suas atividades maliciosas. A CISA também incluiu essa vulnerabilidade em seu catálogo de falhas conhecidas, exigindo que agências federais tomem medidas de segurança até 24 de dezembro. A Cisco recomenda que os administradores verifiquem a exposição e apliquem as correções assim que disponíveis, dado que essas vulnerabilidades são vetores frequentes de ataque e representam riscos significativos para a segurança.

A Cisco anunciou atualizações de segurança para uma vulnerabilidade crítica em seu software AsyncOS, utilizado no Cisco Secure Email Gateway e no Cisco Secure Email and Web Manager. A falha, identificada como CVE-2025-20393, possui uma pontuação CVSS de 10.0, indicando seu alto potencial de risco. Essa vulnerabilidade permite a execução remota de comandos com privilégios de root, devido à validação insuficiente de requisições HTTP na funcionalidade de Spam Quarantine. Para que um ataque seja bem-sucedido, três condições devem ser atendidas: o appliance deve estar rodando uma versão vulnerável do software, a funcionalidade de Spam Quarantine deve estar habilitada e acessível pela internet. A Cisco identificou que um ator de ameaça persistente avançada, conhecido como UAT-9686, explorou essa falha desde novembro de 2025, utilizando ferramentas como ReverseSSH e um backdoor em Python chamado AquaShell. A empresa já lançou patches para diversas versões do AsyncOS e recomenda que os usuários sigam diretrizes de segurança, como proteger os appliances atrás de firewalls e desabilitar serviços de rede desnecessários.

A Cisco lançou atualizações para corrigir uma vulnerabilidade de segurança de média gravidade no Identity Services Engine (ISE) e no ISE Passive Identity Connector (ISE-PIC), identificada como CVE-2026-20029, com uma pontuação CVSS de 4.9. Essa falha está relacionada ao recurso de licenciamento e pode permitir que um atacante remoto autenticado com privilégios administrativos acesse informações sensíveis. A vulnerabilidade decorre de uma análise inadequada de XML processada pela interface de gerenciamento baseada na web do Cisco ISE e do ISE-PIC. Um atacante poderia explorar essa falha ao fazer o upload de um arquivo malicioso para a aplicação, possibilitando a leitura de arquivos arbitrários do sistema operacional subjacente, o que deveria ser restrito até mesmo para administradores. A Cisco informou que não há soluções alternativas e que está ciente da disponibilidade de um código de prova de conceito (PoC) para a exploração da falha, embora não haja indícios de que tenha sido explorada ativamente. Além disso, a empresa também corrigiu outras duas vulnerabilidades de média gravidade relacionadas ao processamento de solicitações DCE/RPC, que poderiam permitir que um atacante remoto não autenticado causasse vazamento de informações ou reiniciasse o mecanismo de detecção Snort 3, afetando a disponibilidade.

A Cisco alertou sobre uma vulnerabilidade zero-day de gravidade máxima no software Cisco AsyncOS, que está sendo ativamente explorada por um grupo de ameaças persistentes avançadas (APT) da China, conhecido como UAT-9686. A falha, identificada como CVE-2025-20393, permite que atacantes executem comandos arbitrários com privilégios de root em dispositivos afetados, comprometendo a segurança do sistema operacional subjacente. A vulnerabilidade afeta todas as versões do Cisco AsyncOS, mas a exploração só é possível se o recurso de Quarentena de Spam estiver habilitado e acessível pela internet. A Cisco recomenda que os usuários verifiquem a configuração de seus dispositivos e adotem medidas de segurança, como limitar o acesso à internet e monitorar o tráfego de logs. A CISA dos EUA incluiu essa vulnerabilidade em seu catálogo de vulnerabilidades conhecidas, exigindo que agências federais implementem mitigação até 24 de dezembro de 2025. Além disso, a GreyNoise relatou uma campanha coordenada de tentativas de login automatizadas em infraestruturas de autenticação de VPN, destacando a necessidade de vigilância contínua contra ataques cibernéticos.

A Cisco anunciou o desenvolvimento de uma nova inteligência artificial (IA) que utiliza 30 anos de dados sobre ataques cibernéticos para aprimorar a segurança digital. O projeto visa expandir o modelo Foundation-Sec-8B, que atualmente opera com 8 bilhões de parâmetros, para 17 bilhões, aumentando a precisão na detecção de ameaças. Raj Chopra, vice-presidente sênior da Cisco, destacou que o foco não é criar um sucessor, mas sim um modelo expandido que utilize um vasto arsenal de informações coletadas ao longo das últimas três décadas, incluindo incidentes e manuais de treinamento. A equipe de especialistas em segurança digital da Cisco liderará esse processo, que deve ser concluído até o final do ano. Além disso, a empresa está desenvolvendo novos modelos de IA para complementar essa versão atualizada, com o objetivo de apoiar os profissionais de segurança no combate ao cibercrime com ferramentas mais sofisticadas.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre duas vulnerabilidades críticas nos firewalls da Cisco, identificadas como CVE-2025-20333 e CVE-2025-20362. Essas falhas, descobertas em setembro de 2025, estão sendo ativamente exploradas por grupos de ataque, incluindo a campanha ArcaneDoor, que tem como alvo redes governamentais. Apesar das diretrizes de emergência da CISA, que exigiam que as agências federais aplicassem patches em 24 horas, mais de 32.000 dispositivos ainda permanecem vulneráveis. A CISA observou que várias organizações acreditavam ter aplicado as atualizações necessárias, mas não o fizeram corretamente, o que as deixou expostas a ataques de malware e ransomware. A Cisco já havia alertado que as falhas eram exploradas como zero-days, afetando dispositivos da série 5500-X com serviços web habilitados. A CISA recomenda que todas as organizações verifiquem se as atualizações corretas foram aplicadas e sugere ações adicionais para mitigar os riscos em dispositivos ainda não atualizados.

A Cisco divulgou vulnerabilidades críticas de execução remota de código que afetam o Cisco Unified Contact Center Express (CCX), expondo organizações a riscos severos de segurança. O aviso detalha duas vulnerabilidades independentes no processo de Java Remote Method Invocation (RMI), que podem permitir que atacantes não autenticados obtenham controle total do sistema, incluindo privilégios de nível root. As falhas representam uma ameaça significativa para operações de contact center em todo o mundo, pois podem ser exploradas sem autenticação ou interação do usuário. A primeira vulnerabilidade permite o upload de arquivos arbitrários e a execução de comandos com permissões de root. A segunda permite que atacantes contornem mecanismos de autenticação na aplicação CCX Editor, criando a ilusão de acesso legítimo. Ambas as vulnerabilidades possuem pontuações CVSS de 9.8 e 9.4, respectivamente, indicando níveis críticos de severidade. A Cisco recomenda que as organizações que utilizam versões vulneráveis do CCX atualizem imediatamente para as versões corrigidas, uma vez que não existem alternativas de mitigação. A rápida remediação é essencial para proteger a infraestrutura crítica dos contact centers.

Um grupo de atacantes avançados está explorando vulnerabilidades zero-day não divulgadas em sistemas críticos de empresas, utilizando webshells personalizados para obter acesso administrativo em redes comprometidas. A equipe de inteligência de ameaças da Amazon identificou uma campanha cibernética coordenada que visa o Cisco Identity Service Engine (ISE) e sistemas da Citrix, revelando táticas de um adversário altamente sofisticado. A vulnerabilidade CVE-2025-20337 no Cisco ISE permite a execução remota de código sem autenticação, enquanto a CVE-2025-5777 afeta sistemas Citrix. Após a exploração, os atacantes implantaram um webshell sofisticado disfarçado como um componente legítimo do Cisco ISE, utilizando técnicas avançadas de evasão para evitar a detecção. A operação foi realizada inteiramente na memória, dificultando a coleta de evidências forenses. As organizações devem implementar estratégias de defesa em profundidade e monitorar comportamentos anômalos para se proteger contra essas ameaças.

A equipe de inteligência da Amazon anunciou a descoberta de ataques cibernéticos que exploram vulnerabilidades zero-day em softwares da Cisco e Citrix. As falhas identificadas são a CVE-2025-5777, conhecida como Citrix Bleed 2, e a CVE-2025-20337, que afeta o Mecanismo de Identidade da Cisco. A primeira permite burlar autenticações no NetScaler ADC da Citrix, enquanto a segunda possibilita a execução remota de códigos sem autenticação, comprometendo o sistema operacional. Ambas as vulnerabilidades foram corrigidas em julho de 2025, mas a Amazon identificou que hackers estavam ativamente explorando essas falhas, utilizando um web shell customizado para se infiltrar em sistemas. Este backdoor, disfarçado como um componente legítimo, consegue operar na memória e monitorar requisições HTTP, utilizando técnicas de encriptação para evitar detecção. O Diretor de Segurança da Informação da Amazon, CJ Moses, destacou a necessidade de estratégias de defesa robustas para proteger a infraestrutura crítica de identidade e controle de acesso às redes, evidenciando o alto nível de sofisticação dos atacantes.

A equipe de inteligência de ameaças da Amazon divulgou que um ator de ameaça avançado explorou duas falhas de segurança zero-day em produtos da Cisco e Citrix, visando implantar malware personalizado. As vulnerabilidades identificadas são a CVE-2025-5777, uma falha de validação de entrada no Citrix NetScaler ADC, e a CVE-2025-20337, uma vulnerabilidade de execução remota de código no Cisco Identity Services Engine (ISE). Ambas foram corrigidas em 2025, mas foram ativamente exploradas antes da correção. A exploração da CVE-2025-20337 resultou na implantação de um web shell disfarçado como um componente legítimo do Cisco ISE, evidenciando a sofisticação do ataque. A Amazon descreveu o ator como altamente capacitado, capaz de utilizar múltiplas exploits zero-day, o que ressalta a necessidade de as organizações implementarem estratégias de defesa em profundidade e capacidades robustas de detecção de comportamentos anômalos. O relatório destaca que mesmo sistemas bem configurados podem ser vulneráveis a esses tipos de ataques, enfatizando a importância de limitar o acesso a portais de gerenciamento privilegiados.

A Cisco divulgou um alerta sobre novas variantes de ataque que visam dispositivos com o software Cisco Secure Firewall Adaptive Security Appliance (ASA) e Cisco Secure Firewall Threat Defense (FTD). As vulnerabilidades identificadas como CVE-2025-20333 e CVE-2025-20362 podem causar reinicializações inesperadas em dispositivos não corrigidos, resultando em condições de negação de serviço (DoS). Ambas as falhas foram exploradas como vulnerabilidades zero-day, permitindo a execução de código arbitrário e acesso não autenticado a URLs restritas.

O Australian Signals Directorate (ASD) emitiu um alerta sobre ataques cibernéticos direcionados a dispositivos Cisco IOS XE não corrigidos, utilizando um implante desconhecido chamado BADCANDY. A vulnerabilidade explorada, CVE-2023-20198, possui uma pontuação CVSS de 10.0, permitindo que atacantes remotos e não autenticados criem contas com privilégios elevados, comprometendo o controle dos sistemas afetados. Desde 2023, essa falha tem sido ativamente explorada, especialmente por grupos de ameaças vinculados à China, como o Salt Typhoon, que visam prestadoras de telecomunicações. O ASD identificou que cerca de 400 dispositivos na Austrália foram comprometidos desde julho de 2025, com 150 infecções ocorrendo apenas em outubro. O BADCANDY é descrito como um shell web baseado em Lua, que não possui um mecanismo de persistência, mas pode ser reintroduzido se os dispositivos permanecerem expostos e não corrigidos. O ASD recomenda que operadores de sistemas apliquem patches, limitem a exposição pública das interfaces web e sigam diretrizes de segurança da Cisco para evitar novas tentativas de exploração. Medidas adicionais incluem a revisão de configurações de contas e interfaces de túnel desconhecidas.

Autoridades de cibersegurança alertam sobre campanhas de exploração direcionadas a dispositivos Cisco IOS XE, utilizando uma vulnerabilidade crítica identificada como CVE-2023-20198. Essa falha permite que atacantes remotos e não autenticados criem contas altamente privilegiadas, comprometendo o controle total dos dispositivos. Desde outubro de 2023, um shell web sofisticado chamado BADCANDY tem sido implantado, afetando mais de 150 dispositivos na Austrália, mesmo após esforços de remediação. O BADCANDY é caracterizado como um implante de baixa complexidade técnica, o que facilita sua adoção por diversos grupos de ameaças, incluindo atores patrocinados por estados. A vulnerabilidade é particularmente preocupante, pois permite que os atacantes apliquem patches não persistentes, dificultando a detecção por administradores de rede. Para mitigar essa ameaça, é essencial que as organizações apliquem os patches oficiais da Cisco e sigam as diretrizes de segurança recomendadas, especialmente desabilitando a interface HTTP, a menos que seja absolutamente necessário. A situação atual exige vigilância contínua e ações rápidas para proteger a infraestrutura crítica das redes.

Recentes incidentes de cibersegurança revelam que brechas silenciosas estão se tornando comuns, com atacantes permanecendo nas redes por longos períodos sem serem detectados. Um dos casos mais alarmantes envolve a F5, que anunciou a violação de seus sistemas por atores desconhecidos, resultando no roubo de códigos fonte do BIG-IP e informações sobre vulnerabilidades não divulgadas. Acredita-se que os atacantes, associados a um grupo de espionagem da China, estavam ativos na rede da F5 por pelo menos 12 meses.

Pesquisadores de cibersegurança revelaram uma nova campanha, chamada Operação Zero Disco, que explora uma vulnerabilidade crítica no Cisco IOS e IOS XE para implantar rootkits em sistemas Linux mais antigos. A falha, identificada como CVE-2025-20352, possui uma pontuação CVSS de 7.7 e permite que atacantes remotos autenticados executem código arbitrário ao enviar pacotes SNMP manipulados. Embora a Cisco tenha lançado um patch para a vulnerabilidade, ataques reais já estavam em andamento, utilizando essa falha como um zero-day. Os dispositivos mais afetados incluem as séries Cisco 9400, 9300 e 3750G. Os rootkits implantados possibilitam acesso não autorizado persistente, configurando senhas universais e instalando hooks na memória do daemon IOS. Os atacantes também tentaram explorar uma vulnerabilidade no Telnet, permitindo acesso à memória em endereços arbitrários. A operação se destacou por atingir sistemas Linux antigos sem soluções de detecção de endpoint, permitindo que os rootkits operassem sem serem detectados. A utilização de endereços IP e e-mails falsificados também foi observada durante as intrusões.

Pesquisadores de cibersegurança da Trend Micro descobriram uma campanha de ataque sofisticada chamada “Operação Zero Disco”, que explora uma vulnerabilidade crítica no protocolo SNMP da Cisco para implantar rootkits Linux em dispositivos de infraestrutura de rede. A vulnerabilidade, identificada como CVE-2025-20352, permite a execução remota de código (RCE) em modelos de switches Cisco mais antigos, como as séries 9400, 9300 e 3750G. Os atacantes conseguem estabelecer acesso persistente e evitar sistemas de detecção, utilizando senhas universais que comprometem a segurança dos dispositivos. Além disso, a campanha demonstra técnicas avançadas de infiltração na rede, como manipulação de VLANs e spoofing de ARP, permitindo que os invasores contornem múltiplas camadas de segurança. A Cisco confirmou que a falha afeta diversos modelos de switches, sendo os 3750G os mais vulneráveis devido à falta de proteções modernas. A Trend Micro recomenda o uso de suas soluções de segurança para detectar e mitigar esses ataques, mas alerta que não há ferramentas automatizadas confiáveis para verificar se um switch Cisco foi comprometido, exigindo investigação manual.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) identificou uma vulnerabilidade crítica no Cisco IOS e IOS XE, classificada como CVE-2025-20352, que afeta o protocolo Simple Network Management Protocol (SNMP). Esta falha, resultante de um estouro de buffer baseado em pilha, está sendo ativamente explorada, permitindo que atacantes com acesso à rede provoquem condições de negação de serviço ou até mesmo execução remota de código. A CISA estabeleceu um prazo de remediação até 20 de outubro de 2025 para agências federais, enquanto empresas do setor privado são aconselhadas a acelerar a aplicação de patches para evitar interrupções. A vulnerabilidade pode ser explorada por atacantes de baixo privilégio para causar falhas nos equipamentos de rede, enquanto atacantes com privilégios elevados podem obter controle total do dispositivo afetado, possibilitando manipulação de tráfego e instalação de malware. A Cisco já disponibilizou medidas de mitigação e recomenda que os clientes apliquem atualizações de segurança imediatamente. A inclusão da CVE-2025-20352 no catálogo de vulnerabilidades conhecidas exploradas (KEV) da CISA indica que a exploração dessa falha pode se tornar uma prática comum entre cibercriminosos, tornando a rápida remediação essencial para a segurança das redes corporativas e governamentais.

A Cisco confirmou duas vulnerabilidades críticas em seus firewalls Adaptive Security Appliance (ASA) e Firepower Threat Defense (FTD), identificadas como CVE-2025-20333 e CVE-2025-20362. Ambas as falhas permitem que atacantes remotos executem código arbitrário em dispositivos não corrigidos. De acordo com relatórios, mais de 48.800 instâncias de ASA/FTD expostas permanecem sem patch, com os Estados Unidos liderando o número de dispositivos vulneráveis, seguidos por Alemanha, Brasil, Índia e Reino Unido. As vulnerabilidades comprometem a função de defesa de perímetro dos firewalls, permitindo que invasores contornem filtros de rede e acessem dados sensíveis. A Cisco recomenda que as organizações verifiquem suas versões de firewall e apliquem patches imediatamente, dado o alto risco associado, com pontuações CVSS de 9.8 e 9.1. As melhores práticas incluem restringir o acesso à interface de gerenciamento, reforçar credenciais e monitorar logs para atividades suspeitas. A falha em corrigir essas vulnerabilidades pode resultar em comprometimento total da rede e exfiltração de dados.

Nesta semana, o cenário de cibersegurança foi marcado por diversas ameaças significativas. Entre os principais destaques, duas falhas de segurança em firewalls da Cisco foram exploradas por grupos de hackers, resultando na entrega de novos tipos de malware, como RayInitiator e LINE VIPER. Essas falhas, CVE-2025-20362 e CVE-2025-20333, possuem pontuações CVSS de 6.5 e 9.9, respectivamente, e permitem a execução de código malicioso em dispositivos vulneráveis. Além disso, o grupo de espionagem cibernética Nimbus Manticore, alinhado ao Irã, ampliou suas operações para atacar infraestruturas críticas na Europa, utilizando variantes de malware como MiniJunk e MiniBrowse. Outro ponto alarmante foi a campanha de DDoS do botnet ShadowV2, que visa contêineres Docker mal configurados na AWS, transformando ataques em um negócio por encomenda. Em resposta a essas ameaças, a Cloudflare conseguiu mitigar um ataque DDoS recorde, que atingiu 22.2 Tbps. Por fim, vulnerabilidades em servidores da Supermicro foram identificadas, permitindo a instalação remota de firmware malicioso, o que representa um risco elevado para a segurança de dados. As organizações devem priorizar a aplicação de patches e a revisão de suas configurações de segurança para evitar compromissos.

A Cisco divulgou um aviso de segurança crítico (ID cisco-sa-http-code-exec-WmfP3h3O) sobre uma vulnerabilidade de execução remota de código que afeta várias plataformas da empresa. Revelada em 25 de setembro de 2025, a falha (CVE-2025-20363) impacta o Cisco Secure Firewall Adaptive Security Appliance (ASA), o Cisco Secure Firewall Threat Defense (FTD) e diversos sistemas operacionais baseados em IOS. Com uma pontuação CVSS 3.1 de 9.0, a vulnerabilidade permite que atacantes não autenticados ou com privilégios baixos obtenham privilégios de root, o que pode levar à completa compromissão do dispositivo.

O National Cyber Security Centre (NCSC) alertou sobre uma campanha de malware persistente que ataca dispositivos da série Cisco ASA 5500-X, utilizando uma vulnerabilidade 0-day para implantar os malwares RayInitiator e LINE VIPER. Esses malwares permitem execução remota de comandos, acesso persistente e possível exfiltração de dados. A Cisco confirmou que o mesmo ator de ameaça, identificado anteriormente, está explorando novas falhas nos dispositivos ASA para obter acesso root e implantar cargas úteis personalizadas. O NCSC recomenda que as organizações afetadas apliquem atualizações de segurança, auditem logs de dispositivos e isolem sistemas com comportamentos anômalos. A falha afeta versões específicas do firmware e é explorada através de pacotes de rede especialmente elaborados que contornam controles de autenticação. O NCSC também enfatiza a importância de substituir ou atualizar unidades obsoletas, pois dispositivos sem suporte representam riscos significativos de segurança. A análise detalhada do malware, incluindo assinaturas e padrões de rede, está disponível no relatório do NCSC, que também sugere práticas recomendadas para gerenciar hardware obsoleto.

O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) alertou sobre a exploração de falhas de segurança em firewalls da Cisco, resultando em ataques de dia zero que implantaram malwares como RayInitiator e LINE VIPER. Esses malwares são considerados mais sofisticados do que os utilizados em campanhas anteriores, apresentando técnicas avançadas de evasão. A Cisco iniciou investigações em maio de 2025, após ataques a agências governamentais, que visavam dispositivos da série Adaptive Security Appliance (ASA) 5500-X. Os atacantes exploraram vulnerabilidades críticas, como CVE-2025-20333, com um CVSS de 9.9, para contornar autenticações e executar códigos maliciosos. Além disso, modificações no ROMMON foram detectadas, permitindo persistência após reinicializações. A campanha está ligada ao grupo de hackers UAT4356, supostamente vinculado ao governo chinês. A Cisco também corrigiu uma falha crítica (CVE-2025-20363) que poderia permitir a execução de código arbitrário. O Centro Canadense de Cibersegurança recomendou que organizações atualizassem seus sistemas imediatamente para mitigar os riscos.

A Cisco emitiu um alerta sobre duas vulnerabilidades críticas em seu software de firewall, afetando o Cisco Secure Firewall Adaptive Security Appliance (ASA) e o Cisco Secure Firewall Threat Defense (FTD). As falhas, identificadas como CVE-2025-20333 e CVE-2025-20362, têm pontuações CVSS de 9.9 e 6.5, respectivamente. A primeira permite que um atacante remoto autenticado execute código arbitrário como root, enquanto a segunda possibilita que um atacante não autenticado acesse endpoints restritos. Ambas as vulnerabilidades estão sendo ativamente exploradas, com a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) emitindo uma diretiva de emergência para que agências federais identifiquem e mitiguem possíveis compromissos. A CISA também associou a exploração a um ator de ameaças conhecido como ArcaneDoor, que já demonstrou capacidade de manipular a memória ROM dos dispositivos. A Cisco recomenda que os usuários apliquem patches imediatamente para evitar compromissos em suas redes.