Catálogo KEV da CISA se expande com falhas críticas em Hikvision, Rockwell e Cisco SD-WAN

O cenário de cibersegurança enfrenta pressão renovada com a confirmação pela agência governamental dos EUA da exploração ativa de várias vulnerabilidades críticas que abrangem redes corporativas e sistemas de controle industrial. A Agência de Segurança Cibernética e de Infraestrutura (CISA) adicionou formalmente essas falhas ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), uma medida que exige ação imediata das agências civis federais e serve como um alerta severo para o setor privado e operadores de infraestrutura crítica em todo o mundo.

Falhas Críticas em Sistemas de TO e Segurança Física

Entre as adições mais graves estão duas vulnerabilidades com pontuação máxima CVSS v3.1 de 9.8 (Crítico). A primeira, rastreada como CVE-2026-XXXX (detalhes pendentes de publicação final), afeta certos sistemas de gerenciamento de vídeo da Hikvision. A exploração bem-sucedida poderia permitir que um atacante remoto não autenticado execute código arbitrário nos dispositivos afetados, potencialmente comprometendo redes de vigilância de segurança física. Dada a implantação global da Hikvision em instalações sensíveis, essa falha representa uma ameaça significativa de convergência, onde uma violação digital pode levar a falhas de segurança física.

A segunda falha com CVSS 9.8, identificada como CVE-2026-YYYY, impacta os controladores lógicos programáveis (CLPs) da Rockwell Automation, especificamente certos modelos ControlLogix e CompactLogix. Esses dispositivos são a espinha dorsal da automação industrial, controlando maquinários em manufatura, energia e estações de tratamento de água. A exploração poderia permitir que um atacante interrompa processos industriais, manipule leituras de sensores ou cause danos físicos. A inclusão de uma vulnerabilidade de TO no catálogo KEV ressalta a tendência crescente de agentes de ameaças visando a camada de tecnologia operacional.

Gerenciador Cisco SD-WAN Sob Ataque Ativo

Separadamente, a Cisco confirmou a exploração ativa de duas vulnerabilidades de alta gravidade em seu software Catalyst SD-WAN Manager. Embora os identificadores CVE estejam por vir, o aviso da Cisco indica que essas falhas poderiam permitir que um atacante remoto autenticado realize ataques de injeção de comandos ou acesse informações sensíveis. O Catalyst SD-WAN Manager é um sistema nervoso central para redes de longa distância definidas por software, gerenciando política, configuração e análise para filiais corporativas distribuídas. Um comprometimento nessa camada de gerenciamento poderia permitir que um atacante redirecione ou intercepte tráfego em toda a infraestrutura WAN de uma organização.

A CISA adicionou essas vulnerabilidades da Cisco ao catálogo KEV, exigindo que agências federais apliquem correções até um prazo específico—normalmente dentro de três semanas para falhas críticas. A Cisco lançou atualizações de software que abordam esses problemas e recomenda que os clientes atualizem imediatamente, enfatizando que não há workarounds disponíveis.

O Catálogo KEV: Um Mandato e um Barômetro

O catálogo KEV da CISA é mais do que uma lista; está vinculado à Diretiva Operacional Vinculante (BOD) 22-01, que exige que agências civis do poder executivo federal corrijam as vulnerabilidades listadas em um cronograma rigoroso. Para o setor privado, o catálogo atua como um sinal de alta fidelidade, selecionando as vulnerabilidades que não são apenas teoricamente perigosas, mas confirmadas como estando em uso ativo por adversários. A adição simultânea de falhas em sistemas distintos—segurança física, controle industrial e redes corporativas—sugere uma campanha de targeting ampla ou o trabalho de múltiplos grupos de ameaças explorando fraquezas recém-publicadas.

O Desafio em Expansão do Gerenciamento de Vulnerabilidades

A rápida transformação em arma (weaponization) dessas vulnerabilidades destaca a imensa pressão sobre as equipes de segurança para identificar, priorizar e corrigir falhas antes que os atacantes possam aproveitá-las. Esse desafio é agravado por ambientes híbridos de TI/TO expansivos e cadeias de suprimentos de software complexas. Em resposta, provedores de serviços de segurança gerenciados (MSSPs) e provedores de serviços gerenciados (MSPs) estão escalando suas capacidades para auxiliar organizações. Por exemplo, empresas como a LevelBlue estão integrando plataformas avançadas de gerenciamento de vulnerabilidades, como as soluções da Tenable, em seu portfólio de serviços. Isso permite que os MSSPs forneçam avaliação contínua de exposição, priorização de risco contextual (vinculando vulnerabilidades a ativos de negócios específicos) e fluxos de trabalho de correção otimizados para seus clientes.

Orientação Acionável para Equipes de Segurança

1. Inventário e Avaliação Imediata: As organizações devem inventariar imediatamente sua infraestrutura em busca de produtos afetados da Hikvision, Rockwell Automation e Cisco Catalyst SD-WAN Manager. Isso inclui sistemas voltados para a internet e internos, pois os atacantes frequentemente fazem pivô a partir de pontos de acesso inicial.
2. Priorizar a Aplicação de Correções: Aplicar as correções ou atualizações fornecidas pelo fabricante imediatamente. Para agências federais, isso é um mandato. Para todos os outros, deve ser tratado como uma prioridade crítica. Se a correção imediata for impossível, implementar as mitigações recomendadas ou a segmentação de rede para reduzir a superfície de ataque.
3. Segurança na Convergência TO/TI: A falha da Rockwell é um lembrete potente para organizações com ativos industriais. As equipes de segurança devem colaborar com os engenheiros de TO para garantir que sistemas de controle críticos sejam incluídos nos programas de gerenciamento de vulnerabilidades, com cronogramas de correção adaptados aos requisitos de tempo de inatividade operacional.
4. Aproveitar a Inteligência de Ameaças: O catálogo KEV é uma fonte primária. Inscreva-se para alertas da CISA e avisos dos fabricantes. Considere engajar MSSPs que possam fornecer inteligência curada e serviços de correção gerenciada, especialmente para ambientes complexos.
5. Assumir Comprometimento e Realizar Busca Proativa (Hunting): Dada a exploração confirmada, organizações que usam esses sistemas devem buscar proativamente por indicadores de comprometimento (IOCs) dentro de suas redes, verificando tentativas de autenticação anômalas, processos inesperados ou conexões de rede incomuns a partir dos sistemas de gerenciamento.

A expansão do catálogo KEV com essas falhas críticas é um claro chamado à ação. Ela reflete uma realidade onde a janela entre a divulgação de uma vulnerabilidade e sua exploração ativa é extremamente curta. Nesse ambiente, uma estratégia de gerenciamento de vulnerabilidades proativa, baseada em inteligência e com recursos adequados não é apenas uma melhor prática—é um requisito fundamental para a resiliência operacional.