Solarwinds

Os ataques à cadeia de suprimento, conhecidos como Supply Chain Attacks, são uma forma de cibercrime que explora a confiança dos usuários em softwares e atualizações legítimas. Ao invés de invadir diretamente um sistema, os hackers comprometem a distribuição de software, injetando malware em atualizações que parecem seguras. Um exemplo notório é o ataque ao SolarWinds em 2020, onde hackers russos inseriram código malicioso em um software amplamente utilizado por empresas e agências governamentais dos EUA, permitindo espionagem sem ser detectado por meses. Outro caso relevante foi o do CCleaner em 2017, que também teve sua versão oficial comprometida, permitindo acesso remoto a agentes maliciosos. Esses ataques são difíceis de detectar porque muitas vezes utilizam chaves de assinatura legítimas, fazendo com que o sistema reconheça o software como seguro. Para mitigar esses riscos, surge o conceito de Software Bill of Materials (SBOM), que exige transparência sobre os componentes de um software antes de sua instalação. Isso pode ajudar a identificar e prevenir a instalação de softwares maliciosos disfarçados.

Pesquisadores da Huntress Security identificaram que hackers estão explorando vulnerabilidades no SolarWinds Web Help Desk (WHD) para implantar ferramentas legítimas com fins maliciosos, como o Zoho ManageEngine. O ataque, que afetou pelo menos três organizações, utilizou túneis do Cloudflare para persistência e a ferramenta Velociraptor para comando e controle. As vulnerabilidades exploradas, CVE-2025-40551 e CVE-2025-26399, foram classificadas como críticas e permitem execução remota de código sem autenticação. Após obter acesso inicial, os atacantes instalaram o agente Zoho ManageEngine Assist e configuraram o acesso não supervisionado. Além disso, a versão desatualizada do Velociraptor utilizada apresenta uma falha de escalonamento de privilégios. Os administradores de sistemas são aconselhados a atualizar o SolarWinds WHD para a versão 2026.1 ou superior e a remover o acesso público às interfaces administrativas. A Huntress também disponibilizou regras Sigma e indicadores de comprometimento para ajudar na detecção de atividades maliciosas relacionadas a essas ferramentas.

A Microsoft identificou uma intrusão em múltiplas etapas que explorou instâncias expostas do SolarWinds Web Help Desk (WHD) para obter acesso inicial e se mover lateralmente pela rede de organizações. A equipe de pesquisa de segurança da Microsoft não conseguiu confirmar se as falhas exploradas foram as recentemente divulgadas (CVE-2025-40551 e CVE-2025-40536) ou uma vulnerabilidade já corrigida (CVE-2025-26399). As falhas mencionadas têm pontuações CVSS altas, indicando um risco significativo. A CISA dos EUA adicionou a CVE-2025-40551 ao seu catálogo de vulnerabilidades conhecidas exploradas, exigindo que agências federais aplicassem correções até 6 de fevereiro de 2026. Os atacantes conseguiram executar código remotamente e realizar ações como roubo de credenciais e ataques DCSync, simulando um controlador de domínio para extrair hashes de senhas. Para mitigar esses riscos, recomenda-se que as organizações mantenham suas instâncias do WHD atualizadas, removam ferramentas RMM não autorizadas e isolem máquinas comprometidas. A Microsoft enfatiza a importância de um monitoramento eficaz e da aplicação de patches em serviços expostos à internet.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha crítica no SolarWinds Web Help Desk (WHD) ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), classificando-a como ativamente explorada em ataques. A vulnerabilidade, identificada como CVE-2025-40551, possui uma pontuação CVSS de 9.8 e refere-se a uma deserialização de dados não confiáveis, que pode permitir a execução remota de código sem necessidade de autenticação. A SolarWinds lançou correções para essa e outras falhas na versão 2026.1 do WHD. Além disso, outras vulnerabilidades críticas em sistemas como Sangoma FreePBX e GitLab também foram adicionadas ao catálogo da CISA. Embora não haja informações públicas sobre como a CVE-2025-40551 está sendo explorada, o alerta destaca a rapidez com que os atores de ameaças estão se movendo para explorar falhas recém-divulgadas. Agências federais dos EUA devem corrigir essa vulnerabilidade até 6 de fevereiro de 2026, e as demais até 24 de fevereiro de 2026, conforme a Diretriz Operacional Vinculante 22-01.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) identificou uma vulnerabilidade crítica no SolarWinds Web Help Desk, classificada como CVE-2025-40551, que está sendo ativamente explorada em ataques. Esta falha de segurança, originada de uma fraqueza na desserialização de dados não confiáveis, permite que atacantes não autenticados executem comandos remotamente em dispositivos não corrigidos. A SolarWinds lançou uma atualização, a versão 2026.1, em 28 de janeiro, para corrigir essa vulnerabilidade, além de outras falhas de segurança significativas. A CISA emitiu uma diretiva exigindo que as agências federais dos EUA aplicassem patches em seus sistemas em um prazo de três dias, embora tenha incentivado também o setor privado a agir rapidamente. O SolarWinds Web Help Desk é amplamente utilizado por agências governamentais e grandes corporações, com mais de 300.000 clientes em todo o mundo. Dada a frequência com que vulnerabilidades desse software têm sido exploradas, a urgência na aplicação de correções é crítica para evitar possíveis compromissos de segurança.

A SolarWinds divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas em seu software Web Help Desk, incluindo quatro falhas que podem permitir a execução remota de código (RCE) e a bypass de autenticação. As vulnerabilidades, identificadas como CVE-2025-40536 a CVE-2025-40554, variam em severidade, com algumas apresentando pontuações CVSS de até 9.8, indicando um risco elevado. Entre as falhas, destacam-se a deserialização de dados não confiáveis, que pode permitir que atacantes não autenticados executem comandos no sistema alvo. A descoberta dessas vulnerabilidades foi creditada a especialistas de segurança, e a SolarWinds já lançou a versão WHD 2026.1 para mitigar os riscos. A empresa tem um histórico recente de correções de segurança, e a urgência em atualizar para a versão mais recente é enfatizada, dado que falhas anteriores foram exploradas ativamente. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) já havia incluído vulnerabilidades anteriores da SolarWinds em seu catálogo de Exploits Conhecidos, reforçando a necessidade de atenção imediata por parte dos usuários do software.

A SolarWinds anunciou a liberação de atualizações de segurança para corrigir vulnerabilidades críticas em seu software Web Help Desk, que é amplamente utilizado por empresas, instituições de saúde e agências governamentais. As falhas de bypass de autenticação, identificadas como CVE-2025-40552 e CVE-2025-40554, permitem que atacantes remotos não autenticados realizem ataques de baixa complexidade. Além disso, uma vulnerabilidade crítica de execução remota de código (CVE-2025-40553) foi descoberta, possibilitando que atacantes sem privilégios executem comandos em sistemas vulneráveis. Outra falha de RCE (CVE-2025-40551) também foi relatada, aumentando o risco de exploração. A SolarWinds também corrigiu uma vulnerabilidade de credenciais hardcoded (CVE-2025-40537), que poderia permitir acesso não autorizado a funções administrativas. A empresa recomenda que os administradores atualizem seus servidores para a versão 2026.1 do Web Help Desk o mais rápido possível, uma vez que vulnerabilidades anteriores já foram exploradas em ataques. O alerta é especialmente relevante, pois a CISA já havia classificado falhas anteriores como ativamente exploradas, exigindo ações rápidas de agências governamentais.

A Comissão de Valores Mobiliários dos EUA (SEC) decidiu abandonar o processo judicial contra a SolarWinds e seu diretor de segurança da informação, Timothy G. Brown, que alegavam que a empresa havia enganado investidores sobre suas práticas de segurança cibernética, levando ao ataque à cadeia de suprimentos em 2020. A SEC havia acusado a SolarWinds de ‘fraude e falhas de controle interno’, afirmando que a empresa exagerou suas práticas de cibersegurança e não divulgou adequadamente os riscos conhecidos. O ataque, atribuído ao grupo APT29, patrocinado pelo Estado russo, expôs vulnerabilidades significativas. Em julho de 2024, o tribunal descartou várias alegações, afirmando que não havia evidências suficientes para sustentar as acusações. O CEO da SolarWinds, Sudhakar Ramakrishna, declarou que a empresa emerge mais forte e preparada após esse desafio. A decisão da SEC não reflete sua posição em outros casos relacionados, e a empresa continua a ser um ponto focal em discussões sobre segurança cibernética e conformidade regulatória.

A SolarWinds lançou correções para uma vulnerabilidade crítica em seu software Web Help Desk, identificada como CVE-2025-26399, com uma pontuação CVSS de 9.8. Essa falha permite que atacantes executem comandos arbitrários em sistemas vulneráveis, sem necessidade de autenticação. A vulnerabilidade foi descoberta por um pesquisador anônimo da Trend Micro Zero Day Initiative e é uma continuação de problemas anteriores, incluindo CVE-2024-28988 e CVE-2024-28986, que também apresentavam falhas de deserialização de dados não confiáveis. Embora não haja evidências de exploração ativa dessa nova vulnerabilidade, a SolarWinds recomenda que os usuários atualizem para a versão 12.8.7 HF1 para garantir a proteção adequada. A situação é alarmante, considerando o histórico da SolarWinds com ataques, como o incidente de cadeia de suprimentos de 2020, que teve impactos significativos em várias agências governamentais ocidentais. A vulnerabilidade atual destaca a necessidade de vigilância constante e atualização de sistemas, especialmente em um cenário onde a exploração de falhas pode ocorrer rapidamente.

A SolarWinds emitiu um aviso urgente em resposta a um incidente de violação de dados que afetou clientes da Salesforce, relacionado a tokens OAuth comprometidos da integração Salesloft Drift. Os atacantes conseguiram acessar informações sensíveis de várias contas da Salesforce, explorando uma falha no processo de autenticação OAuth. Embora a SolarWinds não utilize essa integração e, portanto, não tenha sido diretamente impactada, a empresa tratou o incidente como uma preocupação de segurança prioritária, reforçando seus protocolos internos. A investigação interna da SolarWinds confirmou que não havia tokens OAuth da Salesloft Drift em sua infraestrutura, e a empresa não encontrou evidências de acesso não autorizado. Para aumentar a segurança, a SolarWinds implementou ferramentas adicionais de monitoramento e está acelerando sua iniciativa de zero-trust, exigindo autenticação multifatorial em pontos de acesso críticos. O incidente destaca a necessidade de práticas de segurança vigilantes em todas as integrações na cadeia de suprimentos digital.