Um responsável de TI verifica três registos de correções antes do almoço
Um responsável de TI de uma empresa de logística de média dimensão abre três separadores antes do almoço a 2 de setembro: a consola de administração da SonicWall, o painel do Switchvox e a instância do Artifactory que guarda os artefactos de compilação da empresa. Nenhum dos três fornecedores tem relação com os outros. Um vende gateways VPN, outro vende sistemas telefónicos, o terceiro repositórios de software. Ainda assim, os três separadores estão abertos pela mesma razão: cada fornecedor confirmou exploração ativa de uma falha nas últimas setenta e duas horas.
Isto não é uma má semana para uma única empresa. São três incidentes separados e simultâneos contra três produtos sem relação entre si, descobertos e divulgados com poucos dias de diferença no início de setembro de 2026. Lido individualmente, cada aviso é rotina de fornecedor. Lidos em conjunto, descrevem um padrão que importa mais do que qualquer número de CVE isolado.
A SonicWall SMA1000 enfrenta um zero-day de gravidade máxima
A SonicWall confirmou a 1 e 2 de setembro de 2026 que atacantes estão a explorar ativamente duas vulnerabilidades até então não divulgadas nos seus dispositivos de acesso remoto SMA1000, nos modelos 6210, 7210 e 8200v. A CVE-2026-83548 é uma falha SSRF pré-autenticação na interface Appliance Work Place, com uma pontuação CVSS de 10.0, a classificação máxima possível. A CVE-2026-83549 é uma injeção de comandos do sistema operativo na Appliance Management Console que permite a um administrador autenticado execução remota de código.
Versões de firmware anteriores a 12.4.3-03526 e 12.5.0-02952 são vulneráveis. No momento em que os ataques foram confirmados, não existia qualquer correção, o que torna isto um verdadeiro zero-day: não houve nenhuma janela em que um defensor pudesse ter fechado a falha aplicando uma atualização, porque não havia atualização disponível. É também o terceiro incidente de segurança do SMA1000 este ano, após um roubo de sementes MFA em julho de 2026 que cobrimos separadamente na altura.
Switchvox e Artifactory mostram duas histórias diferentes de falha de correção
O Sangoma Switchvox SMB Edition 8.3 tem uma vulnerabilidade de injeção SQL não autenticada, CVE-2026-9586, com pontuação CVSS de 9.3. Permite a um atacante implementar uma reverse shell sem quaisquer credenciais, através do endpoint "/pa" do produto. A Sangoma corrigiu-a a 14 de julho de 2026 com a versão 8.4.0.2. As tentativas de exploração começaram a 30 de agosto de 2026, segundo telemetria de honeypots, uma falha de seis semanas entre a correção estar disponível e os atacantes efetivamente a usarem. Cerca de 4.000 instâncias de Switchvox permanecem expostas na internet pública hoje.
O JFrog Artifactory conta uma história mais rápida. Uma falha de contorno de autenticação com CVSS 9.8, CVE-2026-82329, afeta o Artifactory autoalojado na sua configuração predefinida e permite a um atacante não autenticado gerar tokens de administrador. A JFrog corrigiu-a a 28 de agosto de 2026 nas versões 7.111.21, 7.117.28, 7.125.20 e 7.133.29. Os atacantes começaram a explorá-la em poucos dias. A rede de honeypots da Watchtowr observou enumeração automatizada de utilizadores, credenciais e topologias de acesso federado quase imediatamente após o lançamento da correção. Esta é uma vulnerabilidade diferente e mais recente do que o problema de configuração incorreta do Artifactory que cobrimos em julho de 2026 sob o título "verifique uma definição antes de corrigir o Artifactory" - essa era uma falha separada, e as duas não devem ser confundidas.
| Produto | CVE | CVSS | Data de correção | Início da exploração |
|---|---|---|---|---|
| SonicWall SMA1000 | CVE-2026-83548 | 10.0 | Nenhuma ainda (zero-day) | Confirmado até 1 de set. de 2026 |
| SonicWall SMA1000 | CVE-2026-83549 | Não divulgada | Nenhuma ainda (zero-day) | Confirmado até 1 de set. de 2026 |
| Sangoma Switchvox | CVE-2026-9586 | 9.3 | 14 de julho de 2026 | 30 de agosto de 2026 |
| JFrog Artifactory | CVE-2026-82329 | 9.8 | 28 de agosto de 2026 | Poucos dias após a correção |
Para além das manchetes: corrigido não é a mesma palavra que protegido
Três fornecedores sem relação entre si, três categorias de produtos sem relação entre si: uma gateway VPN, um sistema telefónico VoIP e um repositório de artefactos de software. O mesmo padrão surge nos três. Observe a falha entre o momento em que uma correção existe e o momento em que os atacantes efetivamente usam a brecha que essa correção fecha. No Artifactory, essa falha foi de dias. No Switchvox, foram seis semanas, mesmo com a correção disponível durante todo esse tempo. Na SonicWall não houve falha nenhuma, porque ainda não existia correção à volta da qual uma falha pudesse formar-se.
Consideramos que a verdadeira história de exposição para as empresas da UE e do Reino Unido não é nenhuma CVE isolada. É que a existência de uma correção e a proteção efetiva de um sistema são dois factos distintos, e a diferença entre ambos é exatamente a empresa que não aplicou a atualização nas seis semanas em que esta esteve disponível. O dispositivo de borda à escala PME exposto à internet - a caixa VPN, o sistema telefónico, o servidor de artefactos num canto da rede - é o ponto de entrada fiável precisamente porque é aquilo que ninguém volta a verificar após a implementação inicial.
Isto não é hipotético. Cerca de 4.000 caixas Switchvox e um número desconhecido mas real de instâncias SonicWall e Artifactory estão expostas na internet pública neste preciso momento, enquanto isto é escrito. O The Register levanta uma questão distinta e genuinamente em aberto: se a velocidade da exploração do Artifactory, enumeração automatizada em poucos dias após o lançamento da correção, reflete ferramentas de ataque impulsionadas por agentes de IA em vez de operadores humanos a trabalhar os honeypots manualmente. Ainda não temos resposta para isso, e publicamente mais ninguém tem neste momento.
O que o aviso do NCSC acrescenta ao quadro
A 27 de agosto de 2026, o National Cyber Security Centre britânico publicou um aviso alertando para o aumento de ataques direcionados à tecnologia operacional e a dispositivos de borda expostos à internet em todos os setores. A sua mensagem central é simples: não presuma que um sistema é inacessível a partir da internet sem o verificar. Esse aviso surgiu cinco dias antes de estes três incidentes se tornarem públicos, e lê-se menos como uma coincidência e mais como se o NCSC estivesse a ver crescer a mesma categoria de exposição antes de qualquer fornecedor individual confirmar um ataque ativo.
Para uma empresa que utilize qualquer um destes três produtos, ou produtos semelhantes, a questão prática não é saber se as CVE específicas desta semana se aplicam. É saber se existe um processo permanente que verifique, com regularidade, se cada dispositivo de borda exposto à internet está efetivamente a correr o nível de correção que deveria correr - e não apenas se uma correção foi aplicada uma vez.
Servola Journal
Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.
Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.
Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.
Leia a seguir: O ransomware Gunra explora falhas da Fortinet corrigidas em 2025 | Os seus Mac antigos exigiram sete tentativas
