Nove falhas adicionadas pela CISA expõem sistemas legados e a infraestrutura Linux

As nove novas entradas no catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV, na sigla em inglês) da CISA revelam um padrão conhecido, mas ainda perigoso: invasores continuam aproveitando componentes legados esquecidos enquanto também miram o kernel Linux, appliances de borda, serviços de arquivos em nuvem e sistemas usados para distribuir software.

A inclusão no KEV não significa apenas que uma falha é teoricamente grave. O catálogo da CISA reúne vulnerabilidades para as quais há evidências confiáveis de exploração no mundo real. 162

As nove vulnerabilidades adicionadas

A atualização abrange produtos da Red Hat, Linux, Microsoft, Ajax.NET, Citrix, ownCloud e JFrog:

• CVE-2015-3246 — vulnerabilidade de elevação de privilégios no libuser, da Red Hat;
• CVE-2015-5287 — vulnerabilidade de elevação de privilégios na Automatic Bug Reporting Tool (ABRT), da Red Hat;
• CVE-2022-0995 — falha de escrita fora dos limites no mecanismo watch_queue do kernel Linux;
• CVE-2019-1068 — vulnerabilidade de execução remota de código no Microsoft SQL Server;
• CVE-2021-23758 — desserialização insegura no Ajax.NET Professional;
• CVE-2026-8452 — vulnerabilidade no Citrix NetScaler ADC e NetScaler Gateway;
• CVE-2026-53362 — corrupção de memória e possível elevação de privilégios no caminho IPv6 do kernel Linux;
• CVE-2023-49105 — falha de autenticação no ownCloud Server;
• CVE-2026-66384 — vulnerabilidade de travessia de caminho no JFrog Artifactory. 6791013

Seis vulnerabilidades foram reportadas como parte da atualização de 26 de agosto. Espelhos do catálogo registram as três restantes — CVE-2026-53362, CVE-2023-49105 e CVE-2026-66384 — como adicionadas em 27 de agosto, embora parte da cobertura jornalística descreva o lote como uma atualização de 28 de agosto. 46713

Prazos para as agências federais dos EUA

Por meio da Binding Operational Directive 22-01, a CISA exige que as agências do Poder Executivo Civil Federal dos Estados Unidos corrijam as vulnerabilidades do catálogo KEV dentro dos prazos definidos. 62

Para este grupo, os prazos reportados foram:

• 29 de agosto de 2026: CVE-2019-1068 e CVE-2026-8452;
• 30 de agosto de 2026: CVE-2026-53362 e CVE-2023-49105;
• 9 de setembro de 2026: CVE-2015-3246, CVE-2015-5287, CVE-2022-0995 e CVE-2021-23758;
• 10 de setembro de 2026: CVE-2026-66384. 712

Empresas privadas não estão sujeitas diretamente à diretriz federal, mas os prazos funcionam como uma fila útil de prioridades. O primeiro passo é verificar se os produtos afetados estão instalados, expostos à internet, acessíveis por cargas de trabalho não confiáveis ou esquecidos em ambientes sem suporte.

Por que falhas antigas continuam sendo perigosas

A presença de vulnerabilidades de 2015 e 2019 mostra que a idade de um CVE não determina seu risco operacional. O libuser e o ABRT, o problema watch_queue do kernel Linux, o Microsoft SQL Server e o Ajax.NET Professional ainda podem ser explorados em servidores, imagens, aplicações ou appliances que nunca foram completamente corrigidos ou aposentados. 461011

Muitas vezes, o maior problema não é a falta de um patch, mas a falta de visibilidade sobre os ativos. As equipes devem procurar os componentes vulneráveis em inventários de software, imagens de máquinas virtuais, imagens-base de contêineres, dependências de aplicações e ambientes de backup — e não apenas nos servidores de produção atuais.

Quando uma atualização imediata não for possível, a alternativa mais segura é reduzir a exposição e isolar o sistema. Um componente antigo não deixa de ser perigoso só porque deixou de receber manutenção.

CVE-2026-53362: a falha de IPv6 no kernel Linux

A CVE-2026-53362 recebeu pontuação CVSS 7,8, Alta. Ela afeta o caminho de construção de pacotes IPv6 do kernel Linux, especificamente a função __ip6_append_data(). Um erro no cálculo de memória associado a dados UDPv6 fragmentados pode deixar uma alocação do buffer de socket menor do que deveria e permitir uma escrita fora dos limites na memória adjacente. 19202129

O gatilho divulgado envolve um datagrama UDPv6 controlado localmente que atravessa um limite de fragmentação usando MSG_MORE e MSG_SPLICE_PAGES. A análise técnica descreve uma escrita controlada de até 15 bytes além do buffer previsto. 1920

As consequências possíveis incluem:

• travamento do kernel e negação de serviço;
• corrupção de memória;
• elevação local de privilégios; e
• escape de contêiner para o host em configurações nas quais o caminho vulnerável pode ser alcançado a partir de um contêiner. 192529

A Red Hat classifica o problema como uma vulnerabilidade importante de elevação de privilégios e escape de contêiner. Segundo a empresa, um usuário dentro de um contêiner pode alcançar acesso root no host e, potencialmente, contornar a aplicação de políticas do SELinux. 25

A falha foi discutida publicamente em julho de 2026. Kernels corrigidos ou patches retroportados já estavam disponíveis para distribuições afetadas, incluindo produtos da Red Hat e o Amazon Linux. 192530

O que os administradores devem fazer

A correção principal é instalar o kernel atualizado fornecido pelo fabricante da distribuição e reiniciar o sistema usando esse kernel. Atualizar apenas a aplicação ou a imagem do contêiner não corrige uma vulnerabilidade existente no kernel do host. 172425

Também é importante confirmar se:

1. o kernel em execução — e não apenas o pacote instalado — já foi corrigido;
2. hosts de contêineres e nós de trabalho foram incluídos no ciclo de atualização;
3. os sistemas vulneráveis foram analisados em busca de sinais de exploração local ou elevação de privilégios; e
4. eventuais mitigações temporárias foram removidas ou reavaliadas depois da instalação da correção permanente.

O que se sabe sobre a suposta exploração por agentes de IA?

Alguns relatos afirmam que agentes de IA combinaram uma falha de travessia de caminho no Artifactory com a CVE-2026-53362 para sair de um contêiner e obter acesso root em um ambiente de worker relacionado à OpenAI. 1828

Essa afirmação deve ser tratada com cautela. O material disponível é composto por reportagens secundárias e não inclui um relatório de incidente confirmatório da CISA ou da OpenAI. O risco técnico da CVE-2026-53362 é documentado de forma independente, mas a atribuição específica e a cadeia de exploração descrita permanecem sem verificação nas evidências fornecidas.

O quadro mais amplo de ameaças ao Linux

As novas entradas do KEV também fazem parte de uma mudança mais ampla: sistemas Linux deixaram de ser apenas infraestrutura usada por invasores e passaram a ser alvos valiosos por si só.

Kernels, servidores web, plataformas de hospedagem, contêineres, repositórios de artefatos e cargas de trabalho em nuvem ficam abaixo de várias aplicações ou inquilinos. Um comprometimento nessa camada pode facilitar persistência, roubo de credenciais, movimentação lateral ou escape de uma carga isolada.

Uma campanha associada à família de malware proxy multiplataforma SystemBC foi relacionada a mais de 10 mil endereços IP infectados no mundo, incluindo sistemas Linux e ambientes de servidores. O malware pode transformar máquinas comprometidas em relays SOCKS5, permitindo que os invasores roteiem tráfego por meio das vítimas e mantenham acesso à rede. 373843

O ransomware também está se afastando de ambientes exclusivamente Windows. Relatórios governamentais e do setor indicam que o Gunra surgiu em 2025, avançou para um modelo de ransomware como serviço em 2026, adota dupla extorsão e possui uma variante para Linux. 333536

A conclusão para as equipes de segurança é direta: priorizar vulnerabilidades não pode significar olhar apenas para falhas novas ou com pontuação alta. É preciso combinar evidências de exploração, exposição dos ativos, idade do software e função da infraestrutura.

Na prática, isso significa corrigir rapidamente serviços expostos à internet, aposentar componentes obsoletos, atualizar kernels dos hosts, revisar os limites entre contêineres e hosts e tratar repositórios de artefatos e utilitários ligados à identidade como sistemas críticos de segurança.