Recentemente, duas vulnerabilidades de segurança em sistemas amplamente utilizados foram adicionadas ao catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA, destacando a gravidade das falhas. As vulnerabilidades em questão são a CVE-2026-65660, relacionada ao Microsoft SharePoint, e a CVE-2026-67279, que afeta o MikroTik RouterOS.
A vulnerabilidade do SharePoint, inicialmente classificada pela Microsoft como um problema de spoofing com uma pontuação CVSS de 6.5, foi reavaliada e agora é considerada uma falha de execução remota de código (RCE) com uma pontuação de 8.8. Essa vulnerabilidade permite que um invasor autenticado execute código arbitrário em servidores SharePoint 2016, 2019 e Subscription Edition. A CVE-2026-65660 foi corrigida nas atualizações de segurança de agosto, mas, segundo relatos, já está sendo explorada ativamente em ataques. A Microsoft confirmou a exploração da falha em um aviso atualizado, mencionando que evidências confiáveis de ataques foram observadas a partir de 25 de setembro de 2026.
O pesquisador Dinh Ho Anh Khoa, da Viettel Cyber Security, foi um dos responsáveis por divulgar os detalhes técnicos da falha, que se relaciona a como o SharePoint verifica se os controles do lado do servidor estão na lista SafeControls, permitindo que atacantes injetem classes .NET arbitrárias. Embora a Microsoft tenha inicialmente minimizado a severidade da vulnerabilidade, a situação mudou rapidamente após a divulgação das informações técnicas, levando a um aumento nas tentativas de exploração.
Por outro lado, a vulnerabilidade CVE-2026-67279 no MikroTik RouterOS permite que atacantes obtenham controle administrativo total de roteadores expostos à Internet sem a necessidade de senha ou chave SSH. Essa falha é resultado da combinação de duas vulnerabilidades: uma falha na máquina de estado SSH e um erro de injeção de argumento no processo de login do RouterOS. A CERT Polska, que identificou a cadeia de falhas, alertou que a exploração estava acontecendo antes mesmo da disponibilização das correções.
O ataque, conhecido como MikroTrick, permite que um cliente não autenticado crie um canal de sessão e envie comandos de execução, comprometendo a segurança dos dispositivos. Logs de dispositivos afetados mostraram tentativas de login com um nome de usuário manipulado, indicando que a exploração já estava em andamento antes da correção oficial. O CISA também confirmou a adição da CVE-2026-86060, uma falha separada no processo de login, ao seu catálogo de vulnerabilidades exploradas.
A CISA, por sua vez, enfatizou a importância de as agências federais priorizarem a correção de vulnerabilidades de alto risco, como as listadas no KEV, em ativos que estejam expostos publicamente. A diretiva operacional vinculativa 26-04 estabelece requisitos de gerenciamento de vulnerabilidades que visam fortalecer a segurança em toda a infraestrutura federal.
Com a exploração ativa dessas falhas, a situação se torna crítica para os administradores de sistemas que utilizam SharePoint e MikroTik. As atualizações de segurança lançadas em agosto e setembro devem ser aplicadas com urgência para mitigar os riscos associados a essas vulnerabilidades.
O que permanece incerto é o alcance total da exploração e se outras vulnerabilidades semelhantes poderão ser descobertas e exploradas no futuro. A CISA continuará a monitorar e adicionar novas vulnerabilidades ao seu catálogo, enquanto a comunidade de segurança se mantém alerta para novas informações e possíveis ataques.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews