Surto no catálogo KEV da CISA: Três falhas exploradas ativamente forçam resposta de emergência de fabricantes

Um surto significativo na exploração ativa levou a Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA a adicionar simultaneamente três vulnerabilidades críticas e distintas ao seu catálogo da Diretiva Operacional Obrigatória (BOD) 22-01, comumente conhecido como a lista de Vulnerabilidades Exploradas Conhecidas (KEV). Esta ação coordenada ressalta uma tendência preocupante de rápida transformação de falhas em armas e destaca os mandatos urgentes de correção para os produtos afetados da Cisco, SonicWall e ASUS. As agências do Poder Executivo Civil Federal (FCEB) agora são obrigadas a remediar essas falhas até prazos específicos, estabelecendo um precedente crítico para todas as organizações dos setores público e privado em todo o mundo.

A mais grave da tríade é uma vulnerabilidade zero-day crítica no software AsyncOS da Cisco para seus Aparelhos de Segurança de E-mail (ESA), rastreada como CVE-2025-51797. Esta falha, com pontuação CVSS 9.6, é uma bypass de autenticação que permite a um atacante remoto não autenticado obter acesso administrativo não autorizado à interface web de gerenciamento do aparelho afetado. A Cisco confirmou a exploração ativa e direcionada desta vulnerabilidade na natureza. Em um alerta contundente, a gigante das redes atribuiu esses ataques a um sofisticado ator de ameaças que identifica como Velvet Ant, o qual é avaliado como um grupo patrocinado pelo estado operando a partir da China. A exploração bem-sucedida concede ao atacante controle completo sobre o gateway de segurança de e-mail, permitindo interceptação, exfiltração ou manipulação do tráfego de e-mail—um alvo principal para campanhas de espionagem e roubo de dados.

Concomitantemente, a SonicWall agiu rapidamente para corrigir uma vulnerabilidade de alta gravidade em seus aparelhos da série Secure Mobile Access (SMA) 100, identificada como CVE-2025-40602. Esta falha, também presente na lista KEV da CISA, é um problema de controle de acesso inadequado que poderia permitir que um usuário autenticado realizasse ações com privilégios elevados. A SonicWall confirmou evidências de exploração limitada e direcionada na natureza. Os aparelhos SMA são críticos para fornecer acesso remoto seguro às redes corporativas, tornando-os um alvo de alto valor para atores de ameaças que buscam uma posição inicial na rede. A empresa lançou versões corrigidas do firmware da série SMA 100 e recomenda fortemente que todos os clientes atualizem imediatamente.

Completando a tríade está uma vulnerabilidade de escalonamento de privilégio local de alta gravidade no software Live Update da ASUS, catalogada como CVE-2025-43047. Encontrada em versões do software para certos modelos de notebooks ASUS, esta falha poderia permitir que um atacante local com privilégios baixos executasse código arbitrário com privilégios de nível SYSTEM. A CISA adicionou esta falha ao catálogo KEV após confirmar evidências de exploração ativa. Embora exija acesso local, tal vulnerabilidade é frequentemente encadeada com outras explorações ou usada em ataques direcionados para comprometer totalmente um dispositivo após uma violação inicial. A ASUS lançou versões atualizadas do software Live Update e instruções detalhadas para os usuários removerem manualmente as versões vulneráveis.

A listagem KEV simultânea dessas três falhas de grandes fabricantes não é uma coincidência. Reflete o papel da CISA no rastreamento de tendências de exploração entre fabricantes e na exigência de ação contra as ameaças mais prementes. A inclusão no catálogo KEV tem um peso significativo; embora legalmente vinculante apenas para as agências federais dos EUA, serve como um sinal crítico de priorização para equipes de segurança em todo o mundo. Organizações que aderem aos prazos de remediação do KEV da CISA reduzem significativamente sua exposição a ameaças ativas e conhecidas.

Este incidente oferece várias lições-chave para a comunidade de cibersegurança. Primeiro, demonstra o foco contínuo de grupos de ameaças persistentes avançadas (APT), particularmente aqueles ligados à China, em dispositivos de perímetro de rede como gateways de segurança de e-mail e aparelhos VPN. Esses dispositivos oferecem um ponto de pivô estratégico para as redes corporativas. Segundo, a rápida transição da descoberta da vulnerabilidade para a exploração ativa—em alguns casos, como zero-days—comprime dramaticamente a janela de correção para os defensores. Terceiro, destaca a necessidade de um programa robusto de gerenciamento de vulnerabilidades que incorpore feeds de inteligência de ameaças externas autorizadas, como o KEV da CISA, para priorizar efetivamente os esforços de correção.

Mitigação e resposta são agora as prioridades imediatas. Para usuários do Cisco ESA, o fabricante lançou alertas de segurança com software corrigido. Até que os patches possam ser aplicados, a Cisco recomenda medidas estritas de controle de acesso à rede, incluindo restringir o acesso à interface de gerenciamento a IPs de origem confiáveis. Os administradores do SonicWall SMA devem atualizar para as versões de firmware corrigidas (por exemplo, 10.2.1.12-83sv ou posteriores). Usuários de notebooks ASUS devem verificar a versão do seu software Live Update e aplicar a atualização fornecida no site de suporte da ASUS, ou seguir a orientação do fabricante para remoção manual.

Em conclusão, o surto no catálogo KEV da CISA envolvendo as vulnerabilidades da Cisco, SonicWall e ASUS representa uma onda concentrada de ameaças ativas que demanda atenção imediata. A atribuição da exploração da Cisco a um ator patrocinado pelo estado chinês adiciona uma camada de contexto geopolítico à urgência técnica. Líderes de segurança devem tratar essas listagens KEV como um chamado direto à ação, verificando sua exposição, aplicando correções com presteza e implementando controles defensivos em camadas para proteger a infraestrutura crítica dessas falhas agora armadas publicamente. A velocidade da resposta dos fabricantes é louvável, mas a responsabilidade final pela mitigação cabe a cada organização que utiliza esses produtos amplamente implantados.