SonicWall SMA1000: falhas já exploradas ativamente

O que a CISA acrescentou ao catálogo KEV a 2 de setembro

A agência norte-americana de cibersegurança CISA acrescentou, a 2 de setembro de 2026, sete vulnerabilidades ativamente exploradas ao seu catálogo Known Exploited Vulnerabilities.

O aviso da CISA nomeou diretamente os produtos afetados: SonicWall SMA1000, Sangoma Switchvox, Starlette, Kestra OSS, BerriAI LiteLLM e JFrog Artifactory. Cada entrada significa que a CISA confirmou uma exploração real, e não um risco teórico assinalado apenas por investigadores.

Porque merecem as falhas do SonicWall a sua atenção primeiro

Duas das sete vulnerabilidades afetam o SonicWall SMA1000, um equipamento VPN de acesso remoto que se situa na periferia da rede de muitas organizações.

A CVE-2026-83548 é uma falha de falsificação de pedidos do lado do servidor (SSRF), e a CVE-2026-83549 é uma injeção de comandos do sistema operativo; ambas permitem que um atacante que alcance a interface de gestão do equipamento atue contra os sistemas internos por detrás dele. O SMA1000 está amplamente implementado em pequenas e médias empresas europeias como porta de entrada para os colaboradores em teletrabalho, muitas vezes gerido por equipas de TI reduzidas sem um centro de operações de segurança próprio a vigiá-lo a toda a hora.

A lista completa: sete CVE, sete produtos

O aviso da CISA nomeou sete vulnerabilidades distintas em sete produtos diferentes, e a tabela abaixo lista cada uma delas com o respetivo tipo.

As sete partilham uma caraterística mais relevante do que a sua pontuação de gravidade individual: a CISA afirma que cada uma foi observada sob exploração ativa, e não apenas demonstrada como explorável em laboratório.

Sem prazo legal para as empresas da UE - e esse é precisamente o ponto

A diretiva vinculativa BOD 26-04 da CISA fixa um prazo de correção que se aplica apenas às agências federais civis dos EUA, não às empresas europeias.

Uma empresa da UE que utilize o SonicWall SMA1000 também não tem um gatilho de NIS2 ligado especificamente a este acrescento ao catálogo KEV, pelo que nenhuma lei obriga a um ciclo de correção. É precisamente essa lacuna que torna o catálogo KEV útil de ler de qualquer forma: a designação é um sinal de exploração confirmada que as equipas de segurança em todo o mundo acompanham, seja qual for a jurisdição a que um prazo está ligado, e os atacantes não verificam qual a regulamentação aplicável antes de procurarem um equipamento exposto.

O que fazer efetivamente na segunda-feira de manhã

Uma equipa de TI que utilize o SonicWall SMA1000 para acesso remoto deve verificar esse equipamento face ao aviso da CISA antes de qualquer outra coisa esta semana.

Três passos por ordem: confirmar se o SMA1000 está em uso em qualquer parte do ambiente, incluindo instâncias que uma equipa remota tenha montado sem o conhecimento da TI central; aplicar de imediato a correção da SonicWall para ambas as CVE, ou retirar a interface de gestão da internet pública se não for possível corrigir hoje; e rever os registos de acesso do equipamento em busca de sinais de que as duas falhas já foram usadas antes da correção. O facto de não existir obrigação legal de corrigir é irrelevante para saber se o equipamento acaba comprometido.

LiteLLM: a falha que vai além dos equipamentos VPN

A CVE-2026-59822 afeta o LiteLLM da BerriAI, uma falha de contorno de autenticação num software que funciona como gateway auto-alojado à frente de grandes modelos de linguagem.

O LiteLLM é uma peça cada vez mais comum da infraestrutura de IA empresarial na Europa, usada para encaminhar, registar e controlar o acesso às chamadas a LLM nas aplicações próprias de uma empresa. Uma equipa que faça a gestão de um gateway LLM auto-alojado deve verificar se o LiteLLM faz parte dessa pilha e corrigi-lo com a mesma urgência que as falhas do SonicWall, porque um contorno de autenticação numa gateway à frente de ferramentas de IA internas é exatamente o tipo de acesso que os atacantes agora procuram.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: Explorado Semanas Antes de o PaperCut Corrigir  |  Se usa Zimbra, 21 de agosto mudou o seu risco