O seu patch de abril da VPN está a ser explorado

O que a CISA confirmou a 18 de agosto

A CISA adicionou o CVE-2026-33824 ao seu catálogo de Vulnerabilidades Exploradas Conhecidas a 18 de agosto de 2026, confirmando que uma vulnerabilidade double-free nas Extensões do Serviço IKE do Windows, o componente que gere as ligações VPN IKEv2/IPsec, está a ser ativamente explorada. A falha atinge uma pontuação CVSS de 9,8 em 10 e não exige autenticação, pelo que um atacante com acesso à rede a pode acionar sem palavra-passe, certificado ou qualquer ponto de apoio prévio.

A vulnerabilidade afeta as portas UDP 500 e 4500, as que o IKEv2/IPsec utiliza para negociar e manter um túnel VPN, e atinge qualquer versão suportada de Windows Server, Windows 10 e Windows 11 com VPN IKEv2/IPsec exposta à internet. O alerta da CISA surgiu dentro de um lote de quatro CVE que incluía também uma falha de partilha de ecrã no macOS e um erro de path traversal no VMware vCenter, mas a falha IKE do Windows apresenta a exposição mais clara das quatro, e a CISA fixou 21 de agosto de 2026 como prazo de correção para as agências federais dos EUA, um prazo que já tinha expirado quando esta reportagem foi encerrada.

Como a Unit 42 apanhou as ligações de retorno

A Unit 42, a unidade de informação sobre ameaças da Palo Alto Networks, relatou ter observado um ator de língua chinesa a enviar ligações reverse-shell controladas manualmente a partir de três pontos VPN IKE distintos. Uma reverse shell liga de fora para dentro, da máquina comprometida para a infraestrutura do atacante, em vez de esperar por uma ligação entrante, e é exatamente por isso que sobrevive às regras de firewall orientadas ao tráfico entrante em que se baseia a maior parte da segurança de perímetro; o servidor VPN comprometido parece, para muitos sistemas de monitorização, simplesmente um servidor que abre uma ligação de saída por iniciativa própria.

Atividade controlada manualmente significa que um operador humano introduzia comandos de forma interativa através da shell em vez de correr um script totalmente automatizado, um nível de esforço que indica que o alvo foi considerado digno de atenção direta, e não apenas de uma vasculhada massiva e indiscriminada. A BleepingComputer, a base de dados de CVE da SentinelOne e a Zero Day Initiative confirmaram cada uma os principais detalhes técnicos desde o alerta da CISA, e a reportagem do gbhackers.com sobre a investigação da Unit 42 acrescenta o detalhe da reverse shell que transforma uma falha double-free genérica numa intrusão documentada e ainda em curso.

Corrigida em abril não é a mesma afirmação que segura hoje

A Microsoft lançou uma correção para o CVE-2026-33824 em abril de 2026, cinco meses completos antes de a CISA confirmar exploração ativa e acrescentar a falha ao catálogo KEV. Esse intervalo de tempo é a história escondida por detrás da notícia: o facto de existir um patch desde abril diz que a Microsoft cumpriu a sua parte, mas não diz nada sobre se cada concentrador VPN exposto à internet numa organização recebeu de facto essa correção, e diz ainda menos sobre se alguém andava a vigiar esses pontos à procura precisamente do tráfico de saída em reverse shell que a Unit 42 encontrou.

"Corrigimos há meses" e "estamos seguros hoje" são duas afirmações distintas, não uma só, e tratá-las como equivalentes é exatamente como uma correção com cinco meses acaba ao lado de uma intrusão ativa e controlada manualmente. Um concentrador VPN é um retardatário natural nos programas de correção: é frequentemente gerido pela equipa de rede em vez da equipa que corrige postos de trabalho, fica de fora das verificações de vulnerabilidades habituais, pensadas para ciclos de atualização ao estilo de estação de trabalho, e nem sempre pode ser reiniciado para uma nova versão sem uma janela de manutenção planeada que compete com compromissos de disponibilidade. A segmentação que limita aquilo a que um servidor VPN comprometido consegue chegar, e a monitorização que sinaliza tráfico de saída anómalo desse servidor, são os dois controlos que apanham aquilo que "a correção saiu em abril" por si só não apanha.

O que verificar esta semana

As equipas de TI e de segurança devem confirmar a correção em vez de a assumir: precisam de verificar se cada sistema com Windows Server, Windows 10 ou Windows 11, com VPN IKEv2/IPsec ativada e acessível a partir da internet, recebeu de facto a atualização da Microsoft de abril de 2026, e não apenas se a atualização consta do catálogo. Um gateway VPN posto em funcionamento ou reinstalado depois do lançamento da correção, ou um gerido por terceiros, é exatamente o tipo de instância que passa discretamente ao lado de um lançamento que todos os outros presumem estar completo.

Depois devem verificar o que acontece após a correção confirmada: se o tráfico UDP 500/4500 para esse concentrador está segmentado do resto da rede, para que um único gateway comprometido não se torne um caminho para tudo o que está por detrás, e se as ligações de saída do próprio servidor VPN são monitorizadas em busca do tipo de retorno reverse-shell que a Unit 42 documentou. Este é exatamente o perfil que o catálogo KEV da CISA existe para assinalar, e o mesmo perfil que agências nacionais como o Centro Nacional de Cibersegurança (CNCS) tratam como território de prioridade máxima para qualquer operador com infraestrutura VPN exposta à internet.

Leia a seguir: 9,8 CVSS: falha VNC do macOS já minera Monero  |  Uma Cadeia de Duas Chamadas Deu Root a 295 Atacantes