O Centro Nacional de Cibersegurança (CNCS) emitiu alertas para duas frentes de risco elevado que afetam infraestruturas muito comuns em Portugal: uma falha crítica no popular servidor web NGINX, da F5, e um conjunto de vulnerabilidades nos servidores de gestão da Check Point, uma das quais já explorada em ataques reais. Ambos os casos partilham um denominador perigoso: permitem a atacantes não autenticados atingir componentes que estão, tipicamente, expostos à Internet. Neste artigo reunimos o que está verificado sobre versões afetadas, identificadores CVE, gravidade e as medidas concretas de mitigação.
Resposta rápida: A falha CVE-2026-42945 (“NGINX Rift”) afeta o NGINX Open Source (0.6.27 a 1.30.0) e o NGINX Plus (R32 a R36) e pode causar negação de serviço ou execução remota de código sem autenticação. Em paralelo, a CVE-2026-16232 na consola SmartConsole da Check Point já está a ser explorada, permitindo obter privilégios de administrador nos servidores de gestão. Atualize imediatamente para as versões corrigidas, restrinja o acesso de gestão a IP de confiança e reveja os registos.
NGINX Rift: uma falha crítica de 18 anos no módulo de rewrite
O alerta do CNCS relativo ao NGINX diz respeito à CVE-2026-42945, também referenciada no catálogo europeu como EUVD-2026-30010. Trata-se de uma vulnerabilidade crítica que afeta os servidores web NGINX Open Source (versões 0.6.27 a 1.30.0), NGINX Plus (R32 P6 a R36 P4) e diversos produtos F5 subjacentes. A falha foi divulgada em conjunto pela F5 e pela plataforma de investigação depthfirst.
Do ponto de vista técnico, a CVE-2026-42945 é uma vulnerabilidade de heap buffer overflow no módulo ngx_http_rewrite_module do NGINX. O problema surge de um cálculo incorreto do tamanho do buffer no motor de rewrite. A vulnerabilidade decorre de uma gestão de memória imprópria durante a construção do URI quando uma diretiva rewrite com uma captura PCRE não nomeada (como $1) e um ponto de interrogação é seguida por uma diretiva set; este erro de cálculo conduz a um overflow de heap durante o escape do URI, que pode ser desencadeado por um único pedido HTTP não autenticado.
Quanto à gravidade, a F5 e a depthfirst divulgaram a CVE-2026-42945 a 13 de maio de 2026, um heap-based buffer overflow crítico (CWE-122) no módulo de rewrite do NGINX, batizado de “NGINX Rift”, que pontua 9,2 em CVSS v4.0 e 8,1 (elevado) em CVSS v3.1. Segundo investigadores, a falha é uma vulnerabilidade de corrupção de memória com 18 anos, e a exploração bem-sucedida pode permitir a um atacante não autenticado provocar uma negação de serviço no sistema NGINX ou desencadear execução de código.
É importante contextualizar o risco. A F5 indica que a exploração pode reiniciar o processo worker, enquanto relatos públicos acrescentam que a execução de código também pode ser possível, sobretudo em sistemas onde o ASLR está desativado — mas os materiais do fabricante e dos investigadores referiram, na altura da divulgação, não terem conhecimento de exploração no terreno. Ainda assim, a publicação de uma prova de conceito (PoC) funcional a 13 de maio de 2026 aumentou drasticamente o risco de exploração, e a experiência do setor indica que a “weaponização” e a varredura em massa ocorrem tipicamente em horas a dias após a divulgação pública para vulnerabilidades desta gravidade.
A mesma auditoria de segurança revelou falhas adicionais no NGINX. Além da CVE-2026-42945, foram descobertas a CVE-2026-42946 (alocação excessiva de memória, CVSS 8,3), a CVE-2026-40701 (use-after-free no módulo SSL, CVSS 6,3) e a CVE-2026-42934 (leitura fora dos limites no módulo charset, CVSS 6,3). Nem todos os produtos F5 estão afetados: o F5 Distributed Cloud, o F5 Silverline, a NGINX One Console, o BIG-IP, o BIG-IQ, o F5OS, o Traffix SDC e o F5 AI Gateway não são afetados.
A recomendação do CNCS é direta. Recomenda-se a atualização imediata dos componentes vulneráveis para as versões corrigidas indicadas pela F5. Onde a aplicação de correções não seja imediatamente possível, a F5 e a depthfirst aconselham a substituição de capturas não nomeadas como $1 e $2 por capturas nomeadas em todas as diretivas rewrite afetadas. Como não há indicadores de comprometimento publicados pelo fabricante para esta falha, os defensores devem focar-se no inventário de versões, na revisão de configuração, em reinícios inesperados de worker e em padrões de pedidos HTTP suspeitos dirigidos à lógica de rewrite vulnerável.
Check Point: falha na SmartConsole já explorada em ataques
A segunda frente diz respeito aos servidores de gestão da Check Point. A 22 de julho de 2026, a Check Point publicou um aviso de segurança relativo a várias vulnerabilidades que afetam o Security Management, o Multi-Domain Management e produtos de firewall; a mais urgente é a CVE-2026-16232, uma falha de contorno de autenticação no processo de início de sessão da SmartConsole, classificada como autenticação imprópria (CWE-287).
O mecanismo de ataque é particularmente preocupante porque atinge o “cérebro” da arquitetura de segurança. A vulnerabilidade afeta o Check Point Security Management e o Multi-Domain Security Management, os servidores de gestão que empurram a política para as gateways de segurança da Check Point (ou seja, as firewalls). A falha permite a um atacante remoto não autenticado obter um token de início de sessão da aplicação e autenticar-se no servidor de gestão com privilégios administrativos totais, possibilitando a modificação de políticas e configurações de segurança.
Ao contrário do caso NGINX, aqui já há exploração confirmada. A Check Point confirmou que a CVE-2026-16232 está a ser ativamente explorada no terreno, afetando o que o fabricante descreve como um pequeno número de clientes. A exploração exige, contudo, uma configuração específica: a exploração remota requer acesso de rede ao endereço IP do servidor de gestão em ambientes que não restringem os Trusted Clients. A descoberta foi interna, conforme explicou o responsável de investigação da empresa: durante uma revisão de rotina com a ferramenta BLAST foram detetadas algumas vulnerabilidades e, após análise, foi identificada uma delas a ser explorada no terreno, afetando um pequeno número de clientes.
Sobre a pontuação CVSS, há uma pequena divergência entre fontes: a Rapid7 refere uma pontuação CVSS crítica de 9,1 para a CVE-2026-16232, enquanto outras fontes e o registo do fabricante apontam 9,3. Em qualquer dos casos, a classificação é crítica. O aviso da Check Point abrange, no total, três falhas: a CVE-2026-62144 (CVSS 9,3), uma falha crítica de contorno de autenticação no Security Management e no Multi-Domain Security Management que permite a atacantes remotos não autenticados executar ações administrativas no servidor de gestão, incluindo operações run-script e exec-command nas gateways de segurança, e a CVE-2026-62145. Destas, a CVE-2026-62144 e a CVE-2026-62145 não são conhecidas como ativamente exploradas, e esta última também afeta as firewalls da Check Point (exceto as Spark Gateways), e não apenas os servidores de gestão.
A urgência foi sublinhada pela agência norte-americana CISA. No mesmo dia do aviso, a CVE-2026-16232 foi adicionada à lista de vulnerabilidades conhecidas exploradas (KEV) da CISA, com um prazo de remediação a 25 de julho de 2026, dando às organizações apenas três dias para responder. Vale lembrar que esta não é a primeira vez que produtos VPN e de gestão da Check Point são atacados: em junho, a CISA ordenou às agências federais que protegessem as suas implementações Remote Access VPN e Mobile Access contra outra falha de contorno de autenticação (CVE-2026-50751), explorada em ataques zero-day pelo grupo de ransomware Qilin, e há dois anos a agência assinalou outra falha (CVE-2024-24919) nas Quantum Security Gateways como ativamente explorada por grupos de ransomware.
Cronologia dos casos
| Data | Acontecimento |
|---|---|
| 13 mai. 2026 | F5 e depthfirst divulgam a CVE-2026-42945 (“NGINX Rift”); PoC pública disponibilizada |
| 22 jul. 2026 | Check Point publica aviso para CVE-2026-16232, CVE-2026-62144 e CVE-2026-62145; disponibiliza Jumbo Hotfix |
| 22 jul. 2026 | CISA adiciona a CVE-2026-16232 ao catálogo KEV |
| 23 jul. 2026 | CNCS publica alerta de vulnerabilidade F5 NGINX |
| 25 jul. 2026 | Prazo de remediação da CISA para agências federais (CVE-2026-16232) |
Mitigações recomendadas para a Check Point
As orientações do fabricante e da comunidade CheckMates convergem em três ações prioritárias:
- Instalar o Jumbo Hotfix mais recente, lançado a 22 de julho de 2026.
- Restringir os Trusted Clients da SmartConsole a endereços IP ou sub-redes aprovados e proteger o acesso de gestão com uma firewall.
- Rever a atividade de administrador, SmartConsole, API, token de aplicação, alteração e instalação de política, e procurar nos registos os indicadores de comprometimento publicados.
Um aviso importante sobre a deteção: uma correspondência com um IoC deve desencadear investigação, mas a ausência destes endereços não prova que um ambiente não foi afetado. Além disso, restringir os Trusted Clients e proteger o acesso de gestão são medidas de contenção essenciais, mas não substituem a instalação da atualização de segurança.
Porque é que isto importa em Portugal
O NGINX é omnipresente em servidores web, proxies inversos e balanceadores de carga, e as gateways e consolas de gestão da Check Point são amplamente usadas em empresas e organismos públicos portugueses. Uma falha explorável sem autenticação num destes componentes expostos à Internet pode servir de porta de entrada para movimento lateral, exfiltração de dados e ransomware — sobretudo quando os operadores de acesso inicial visam de forma sistemática as infraestruturas de perímetro.
Do ponto de vista regulatório, muitas das entidades abrangidas pelo novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) estão obrigadas a gerir vulnerabilidades e a comunicar incidentes ao CNCS/CERT.PT dentro de prazos apertados. Um comprometimento de um servidor de gestão da Check Point, que controla políticas em várias gateways, é particularmente grave por se situar no topo da hierarquia de confiança da rede. Adicionalmente, se um ataque bem-sucedido resultar na exposição de dados pessoais, aplicam-se as obrigações de notificação previstas no RGPD, incluindo a comunicação à CNPD e, quando aplicável, aos titulares afetados. Manter o inventário de ativos atualizado e aplicar correções em tempo útil deixou de ser boa prática opcional para passar a ser exigência de conformidade.
Perguntas frequentes
A vulnerabilidade do NGINX já está a ser explorada?
Na altura da divulgação, o fabricante e os investigadores indicaram não ter conhecimento de exploração no terreno. Contudo, foi publicada uma prova de conceito funcional, o que aumenta significativamente o risco. A recomendação é atualizar de imediato, mesmo na ausência de exploração confirmada.
Que versões do NGINX estão afetadas pela CVE-2026-42945?
Estão afetadas as versões do NGINX Open Source de 0.6.27 a 1.30.0 e do NGINX Plus de R32 P6 a R36 P4, bem como diversos produtos F5 que partilham o mesmo código do módulo de rewrite. Deve consultar-se o aviso oficial da F5 para as versões corrigidas exatas.
A minha instalação da Check Point está em risco?
A CVE-2026-16232 explora-se quando o servidor de gestão está exposto à Internet sem restrições de Trusted Clients. Mesmo que o seu servidor não esteja diretamente exposto, a Check Point recomenda não adiar a correção, pois as restrições de rede reduzem a exposição mas não eliminam o código vulnerável.
O que devo fazer primeiro perante estes alertas?
Faça o inventário dos ativos NGINX e Check Point, aplique os hotfixes e as versões corrigidas indicadas pelos fabricantes, restrinja o acesso de gestão a IP de confiança e reveja os registos em busca dos indicadores de comprometimento publicados. Para NGINX, se não puder atualizar já, substitua as capturas não nomeadas por capturas nomeadas nas diretivas rewrite.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo CNCS, CISA, F5/NGINX, Check Point e investigadores de segurança.