O painel de gestão do seu firewall pode ser a porta de entrada. Já o escondeu?

Os equipamentos que protegem a periferia das redes empresariais (firewalls, gateways VPN, controladores de entrega de aplicações e as consolas que os gerem) continuam a ser o alvo preferido dos atacantes. A edição de outubro do InfraTrust Pulse, o relatório mensal da Eclypsium, junta um mês invulgarmente pesado: entre 18 de setembro e 14 de outubro, foram registados 133 novos avisos de segurança de 18 fabricantes, que abrangem 2813 vulnerabilidades. O relatório chama a atenção para um ponto pouco discutido: as falhas PHP2Shell no motor do PHP também afetam as interfaces web de administração de muitos destes equipamentos, e quem os gere não consegue corrigi-las sem ajuda do fabricante.

Um mês em números

O InfraTrust foi apresentado pela Eclypsium em julho como uma base de conhecimento gratuita. O InfraTrust Pulse é o resumo mensal que a acompanha, publicado na quarta quarta-feira de cada mês e dedicado aos avisos, ameaças e riscos que afetam produtos de hardware. Ao contrário de outros resumos, a métrica principal é o aviso do fabricante e não o CVE, porque um único aviso de infraestrutura pode conter dezenas ou mesmo centenas de vulnerabilidades.

No período analisado, 37 avisos foram classificados como críticos, cinco tinham pontuação CVSS máxima de 10.0 e 58 podiam ser explorados remotamente sem autenticação. Dezasseis dos avisos publicados incluíam vulnerabilidades que constam do catálogo KEV da CISA por estarem a ser ativamente exploradas. A comparação com o mês anterior mostra menos avisos, mas muito mais vulnerabilidades em cada um:

Os números de setembro vêm da edição anterior do relatório, que contou 158 avisos de 17 fabricantes e 1699 vulnerabilidades, dos quais 42 críticos, oito com CVSS 10.0 e 71 exploráveis remotamente sem autenticação. O relatório também acompanha a propagação de falhas partilhadas. A vulnerabilidade do kernel Linux conhecida como Copy Fail já aparece em 29 avisos de oito fabricantes, contra 19 avisos de seis fabricantes no mês anterior.

NetScaler e Ivanti: os gateways que abrem a rede

Os casos mais graves do período dizem respeito a equipamentos de acesso remoto. No Citrix NetScaler ADC e Gateway, a Citrix publicou o boletim CTX697096 a 27 de setembro de 2026 e confirmou que tinham sido observadas explorações das CVE-2026-88771 e CVE-2026-88772 em sistemas sem mitigação. As duas falhas têm classificação 9.5 (crítica) em CVSS 4.0.

A CVE-2026-88771 permite a um atacante não autenticado injetar comandos através de dados escritos nos registos do equipamento. Segundo a análise técnica divulgada, o script de manutenção legítimo /netscaler/ns_monuploadd_err.pl pode processar mais tarde a linha adulterada através de uma operação de shell insegura, o que leva à execução do comando como root. A CVE-2026-88772 é um transbordo de memória que depende do DTLS, e a Citrix avisa que o DTLS está ativo por predefinição nos servidores virtuais VPN. A watchTowr sublinha que a Citrix não publicou uma solução alternativa para nenhuma das duas, pelo que a atualização é a única correção. Outra falha do NetScaler, a CVE-2026-88779, que afeta equipamentos configurados para SAML, foi depois acrescentada ao catálogo KEV da CISA, quando foi detetada exploração.

No Ivanti Connect Secure, o problema é a CVE-2026-104935. De acordo com o alerta da CISA, a falha afeta as versões 25.1.1.1 e anteriores, 25.1.2.2 e anteriores e 22.8R2.4 e anteriores. A agência diz ter conhecimento de que a vulnerabilidade de dia zero está a ser explorada para roubo de credenciais e exfiltração de dados. A Rapid7 descreve a falha como um contorno de autenticação por falsificação (CWE-290) com pontuação CVSSv3.0 de 8.6, que permite a um atacante remoto não autenticado executar comandos arbitrários. Acrescenta que, segundo a Volexity, o atacante usou também uma vulnerabilidade de escalada de privilégios ainda sem correção, que a Ivanti planeia corrigir mais tarde.

PHP2Shell: a falha que o administrador não consegue corrigir

O ponto mais sensível do relatório é o PHP2Shell. As duas falhas têm pontuação CVSS v4.0 de 9.2 e podem permitir a um atacante não autenticado executar código com os privilégios do processo PHP afetado. A divulgação correu mal: a 20 de outubro, os pormenores das duas falhas surgiram online antes da divulgação coordenada e antes de haver correções. A watchTowr confirmou depois exploração no terreno e recomendou a atualização para o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.

Num servidor web comum, basta atualizar o pacote do PHP. Num equipamento de rede, não é assim. Como explica o relatório, os fabricantes compilam o PHP no firmware, pelo que os clientes geralmente não conseguem instalar as atualizações do PHP e têm de esperar que cada fabricante publique novo firmware. Segundo informações compiladas por investigadores, a Citrix indicou que o NetScaler é afetado em todas as versões suportadas porque o portal de gestão usa PHP, e a F5 incluiu o utilitário de configuração do BIG-IP na lista de componentes afetados. Enquanto essas correções não chegam, a Eclypsium recomenda que os administradores garantam que as interfaces de gestão baseadas em PHP não estão expostas à Internet.

Há ainda um terceiro problema. A equipa de segurança do PHP divulgou entretanto a CVE-2026-115560, uma nova falha de execução remota de código ainda sem correção. Até sair uma correção, recomenda que os administradores definam session.upload_progress.enabled=0 para bloquear potenciais ataques.

Cronologia

Fontes da cronologia: GreyNoise, citada pela Nextron Systems, watchTowr, Volexity, citada pela Rapid7, CISA e Recorded Future.

O que fazer agora

A Eclypsium propõe uma ordem de prioridades clara. Primeiro, o NetScaler e o Ivanti Connect Secure, porque estes gateways de acesso remoto podem servir de porta de entrada nas redes empresariais. Depois, as atualizações de 22 de outubro da Fortinet para FortiOS, FortiManager e FortiAnalyzer em equipamentos expostos à Internet. Na prática:

• Confirmar a versão exata de cada NetScaler. O CTX697096 corrige as falhas nas versões 14.1-73.37 e 13.1-64.23, e há builds próprios para FIPS/NDcPP.
• Atualizar o Ivanti Connect Secure e correr regularmente a ferramenta de verificação de integridade do fabricante. Perante sinais de comprometimento, seguir as recomendações da CISA: redefinir palavras-passe e revogar certificados e chaves de API.
• Retirar da Internet as consolas de administração de firewalls, VPN, ADC e NAS, restringindo o acesso a redes de gestão ou listas de IP autorizados.
• Atualizar o PHP nos servidores próprios e acompanhar os avisos de firmware relativos ao PHP2Shell nos equipamentos de terceiros.
• Vigiar os processos criados pelo PHP: o CNCS aponta como indicador o arranque de shells ou ferramentas de descarga a partir de php-fpm, php-cgi, httpd ou apache2.

O alerta do CNCS recomenda monitorizar os processos criados pelo PHP, já que a exploração se manifesta tipicamente no arranque de processos anómalos a partir desses serviços.

Porque é que isto importa em Portugal

NetScaler, Ivanti, Fortinet e outros equipamentos do mesmo tipo estão em autarquias, hospitais, universidades e PME de todo o país. A dimensão europeia do PHP2Shell levou a rede de CSIRT da UE a publicar o aviso CNW-2026-04, segundo o qual as consequências possíveis incluem a tomada de controlo de servidores, a indisponibilidade de sites, fugas de dados ou a perturbação de funções como o início de sessão.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades e da cadeia de fornecimento faz parte das medidas obrigatórias de gestão de risco. Um incidente com impacto significativo tem de ser notificado ao CNCS/CERT.PT. Se houver acesso a dados pessoais, como as credenciais e os dados exfiltrados descritos no caso Ivanti, aplica-se também o RGPD, com notificação à CNPD no prazo de 72 horas quando houver risco para os titulares. O caso do PHP2Shell em firmware mostra ainda que as organizações dependem do ritmo de correção dos fabricantes. Por isso, um inventário rigoroso dos equipamentos e das versões instaladas tornou-se tão importante como instalar as atualizações.

Perguntas frequentes

O que é o InfraTrust Pulse?

É um relatório mensal gratuito da Eclypsium que reúne os avisos de segurança de fabricantes de equipamentos de rede, servidores, firmware e chips, e ajuda a decidir o que corrigir primeiro.

Porque não consigo corrigir o PHP2Shell num firewall ou numa VPN?

Porque o PHP vem compilado no firmware do equipamento. A correção tem de chegar numa nova versão de firmware do fabricante. Até lá, a medida recomendada é não expor a interface de gestão à Internet.

Que sistemas devo atualizar primeiro?

Os gateways de acesso remoto Citrix NetScaler e Ivanti Connect Secure, que têm falhas já exploradas. Seguem-se as atualizações da Fortinet de 22 de outubro para FortiOS, FortiManager e FortiAnalyzer expostos à Internet.

Tenho de notificar o CNCS se um destes equipamentos for comprometido?

Sim, se a organização estiver abrangida pelo Regime Jurídico da Cibersegurança e o incidente tiver impacto significativo. Se houver dados pessoais envolvidos, pode também ser necessário notificar a CNPD ao abrigo do RGPD.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Eclypsium, pelo CNCS, pela CISA, pela watchTowr, pela Arctic Wolf, pela Rapid7 e pela rede de CSIRT da UE (ENISA).