CISC GOV.BR

Boletim de Vulnerabilidades

Centro Integrado de Segurança Cibernética do Governo Digital

Emissão: 08/09/2026

Vulnerabilidades em acompanhamento

Exploração ativa

PoC público confirmado

10.0

CVSS máximo

~0,077

EPSS máximo (coletado)

Sumário Executivo

O período concentrou dois blocos distintos de risco. De um lado, avisos de fabricante sem exploração ativa confirmada até o momento, mas com CVSS crítico: switches Cisco Nexus 9000 e roteadores Cisco IOS XR, VMware Workstation/Fusion e o lote de identidade da Microsoft (Entra ID, Azure, Copilot). De outro, seis CVEs adicionadas ao CISA KEV nesta semana com exploração ativa confirmada, incluindo um zero-day do Google Chrome, o gateway SonicWall SMA 1000 e o repositório JFrog Artifactory. Complementarmente, campanhas em curso contra Langflow/LiteLLM (infraestrutura de IA generativa) e roteadores MikroTik foram incluídas por exploração ativa confirmada e CVSS elevado.

Vulnerabilidades Identificadas

CVE	Produto / Descrição	Score CVSS	EPSS	CISA KEV	Exploração Ativa	PoC Público
CVE-2026-20212	Cisco Nexus 9000 Series: Execução Remota de Código Não Autenticada	9.8 Crítico	~0,005	NÃO	NÃO	NÃO
CVE-2026-20274 / 20279 / 20275 / 20278 / 20280 / 20276	Cisco IOS XR: Pacote de Robustecimento de Segurança (6 CVEs)	9.8 Crítico	~0,003	NÃO	NÃO	NÃO
CVE-2026-59346	VMware Workstation e Fusion (Broadcom): Escape de VM via VMXNET3	9.3 Crítico	N/D	NÃO	NÃO	NÃO
CVE-2026-70352 / 83711 / 83941 / 80098 / 62916 / 65818 / 69857 / 70178	Microsoft: Lote de Identidade e Nuvem de Setembro/2026 (Entra ID, Azure, Copilot)	10.0 Crítico	~0,004	NÃO	NÃO	NÃO
CVE-2026-83548 / CVE-2026-83549	SonicWall SMA 1000: SSRF Crítico Encadeado com Injeção de Comando	10.0 Crítico	~0,007	SIM	SIM	NÃO
CVE-2026-82329	JFrog Artifactory: Autenticação Imprópria com Escalonamento a Administrador	9.8 Crítico	~0,077	SIM	SIM	NÃO
CVE-2026-49869	Kestra OSS: Injeção de Comando Não Autenticada	10.0 Crítico	~0,019	SIM	SIM	NÃO
CVE-2026-59822	Berri LiteLLM: Bypass de Autenticação em Endpoint MCP	8.8 Alto	~0,009	SIM	SIM	NÃO
CVE-2026-85046	Google Chrome/Chromium (V8): Zero-Day Explorado Ativamente	8.8 Alto	~0,012	SIM	SIM	NÃO
CVE-2026-0768	Langflow: Execução Remota de Código Não Autenticada	9.8 Crítico	~0,023	NÃO	SIM	NÃO
CVE-2026-67276 / CVE-2026-86060	MikroTik RouterOS: Cadeia "MikroTrick" de Bypass de Autenticação e Escalonamento SSH	9.2 Crítico	~0,004	NÃO	SIM	NÃO

EPSS (FIRST.org): probabilidade de exploração em 30 dias, em escala de 0 a 1. Valores coletados em 01-07/09/2026 diretamente na API pública do FIRST.org. Para vulnerabilidades agrupadas, exibimos o maior valor entre as CVEs do grupo (ver detalhamento individual por CVE). Um CVE ainda não possuía score EPSS publicado até o fechamento desta pesquisa (CVE-2026-59346, VMware). Valores dinâmicos; recomendamos reconsultar first.org/epss.

Detalhamento das Vulnerabilidades

CVE-2026-20212

Cisco · RCE via portas de gerência expostas

9.8 Crítico

Produto

Switches Cisco Nexus 9000 baseados em silício Cisco Silicon One (modelos N9324C-SE1U, N9348Y2C6D-SE1U, N9364E-SG2, N9K-C9804, N9K-C9808, entre outros), NX-OS 10.3(1) a 10.6(3s).

CVSS	Score: 9,8 · Severidade: Crítico. Vetor CVSS não confirmado nas fontes consultadas nesta pesquisa.

EPSS	~0,00527 (FIRST.org, dado de 07/09/2026).

CISA KEV

NÃO, até o fechamento desta pesquisa (08/09/2026).

Exploração

Cisco declarou, em 02/09/2026, não ter conhecimento de exploração ativa até a publicação do aviso.

PoC	Não identificado nas fontes consultadas.

Descrição

Portas TCP 43210 e 43211 expostas sem restrição de IP permitem execução remota de código com privilégios de root em switches da linha Nexus 9000 baseados no ASIC Silicon One.

Impacto

Comprometimento total do switch, com potencial de pivotagem para a rede core/datacenter onde o equipamento estiver instalado.

IoC	Verificar exposição das portas TCP 43210/43211 na rede de gerência; monitorar conexões incomuns a essas portas.

Correção

Aplicar a versão de NX-OS corrigida indicada pelo aviso Cisco PSIRT; restringir acesso às portas de gerência via ACL.

Prazo

Alta prioridade em equipamentos com portas de gerência expostas fora da VLAN de administração.

CVE-2026-20274 / 20279 / 20275 / 20278 / 20280 / 20276

Cisco · Falhas de memory-safety e autenticação em protocolos de roteamento

9.8 Crítico

Produto

Cisco IOS XR Software (plataformas de roteamento de borda/core). Conjunto de avisos publicado em 02/09/2026 cobrindo BGP, gRPC, IS-IS e OSPF.

CVSS	Scores entre 8,6 e 9,8 · Alto a Crítico. CVE-2026-20274 e CVE-2026-20279: 9,8. CVE-2026-20275, CVE-2026-20278 e CVE-2026-20280: 8,8. CVE-2026-20276: 8,6.

EPSS	CVE-2026-20279: ~0,00284. CVE-2026-20278: ~0,00282. CVE-2026-20280: ~0,00270. CVE-2026-20276: ~0,00252. CVE-2026-20275: ~0,00184. CVE-2026-20274: não disponível no FIRST.org/EPSS até o fechamento desta pesquisa (07/09/2026).

CISA KEV

NÃO, até o fechamento desta pesquisa.

Exploração

Cisco não relata exploração ativa conhecida; achados originados de testes internos do fabricante.

PoC	Não identificado nas fontes consultadas.

Descrição

Falhas de memory-safety e de ausência de autenticação/validação de certificado em funções críticas de protocolos de roteamento (BGP, gRPC, IS-IS, OSPF).

Impacto

Risco de indisponibilidade de serviço, execução de código ou desvio de tráfego em roteadores de borda/core, com impacto direto na disponibilidade da rede WAN de órgãos do SISP.

IoC	Monitorar reinicializações inesperadas de processos de roteamento e tráfego anômalo em sessões BGP/IS-IS/OSPF.

Correção

Aplicar os pacotes de correção indicados no aviso Cisco PSIRT (Security Hardening Release Setembro/2026), por plataforma.

Prazo

Curto prazo para roteadores de borda expostos a peers externos.

CVE-2026-59346

Broadcom/VMware · Integer overflow com potencial guest-to-host

9.3 Crítico

Produto

VMware Workstation 25H2/26H1 e VMware Fusion 25H2/26H1 (VMSA-2026-0007).

CVSS	Score: 9,3 · Crítico. A mesma VMSA também traz a CVE-2026-59347 (HGFS, CVSS 8,1), abaixo do limiar de inclusão isolada.

EPSS	Não disponível no FIRST.org/EPSS até o fechamento desta pesquisa (07/09/2026).

CISA KEV

NÃO, até o fechamento desta pesquisa.

Exploração

Sem exploração ativa conhecida até o momento da pesquisa.

PoC	Não identificado nas fontes consultadas.

Descrição

Integer overflow no adaptador de rede virtual VMXNET3 permite, a partir de privilégio administrativo dentro da VM convidada, execução de código no processo do hipervisor no host (guest-to-host escape).

Impacto

Comprometimento do host de virtualização a partir de uma máquina virtual comprometida; risco elevado em estações de desenvolvimento/laboratório que executam VMs de terceiros.

IoC	Sem indicadores públicos específicos divulgados; monitorar comportamento anômalo do processo vmware-vmx.

Correção

Atualizar para a versão 26H1u1 ou aplicar a correção indicada na VMSA-2026-0007. Sem workaround disponível.

Prazo

Prioritário em estações que executam VMs de origem não confiável.

CVE-2026-70352 / 83711 / 83941 / 80098 / 62916 / 65818 / 69857 / 70178

Microsoft · Bypass de autenticação/autorização em serviços de identidade e nuvem

10.0 Crítico

Produto

Azure AI Language Authoring; Azure Active Directory B2C; Microsoft Entra ID (dois CVEs); Copilot Studio; Power Automate; Azure Cosmos DB; Microsoft Fabric.

CVSS

Scores entre 8,5 e 10,0 · Alto a Crítico. CVE-2026-70352 (Azure AI Language Authoring) e CVE-2026-83711 (Azure AD B2C): 10,0. CVE-2026-83941 (Entra ID): 9,9 — não indexado no NVD/MSRC até 08/09/2026, dado obtido em fonte de imprensa especializada; recomendamos verificar diretamente no MSRC antes de qualquer ação. CVE-2026-80098 (Copilot Studio): 9,3. CVE-2026-62916 (Entra ID): 9,1. CVE-2026-65818 (Power Automate), CVE-2026-69857 (Azure Cosmos DB) e CVE-2026-70178 (Microsoft Fabric): 8,5.

EPSS	CVE-2026-69857: ~0,00423. CVE-2026-70178: ~0,00414. CVE-2026-65818: ~0,00329. CVE-2026-80098: ~0,00293. CVE-2026-70352, CVE-2026-83711, CVE-2026-83941 e CVE-2026-62916: não disponíveis no FIRST.org/EPSS até o fechamento desta pesquisa (07/09/2026).

CISA KEV

NÃO, até o fechamento desta pesquisa.

Exploração

Sem exploração ativa confirmada pela Microsoft até o fechamento desta pesquisa.

PoC	Não identificado nas fontes consultadas.

Descrição

Conjunto de falhas de autenticação/autorização (bypass de autenticação, falta de autorização, verificação imprópria de assinatura) em serviços de identidade e nuvem Microsoft, publicado no Patch Tuesday de 03/09/2026. Não houve CVEs de Windows/Office neste lote.

Impacto

Risco direto sobre o Microsoft Entra ID, que sustenta autenticação federada de diversos órgãos do SISP; falhas de bypass de autenticação em serviço de identidade têm potencial de comprometimento amplo de contas e tenants.

IoC	Revisar sign-in logs e audit logs do Entra ID por autenticações anômalas; validar políticas de MFA e Conditional Access ativas.

Correção

Aplicar as atualizações do MSRC Update Guide de 03/09/2026. Para serviços cloud-only (Entra ID, Azure), a correção é aplicada pela Microsoft, mas recomenda-se validar a exposição do tenant.

Prazo

Imediato para verificação de exposição; correção automática do lado Microsoft para os serviços em nuvem.

CVE-2026-83548 / CVE-2026-83549

SonicWall · Gateway de acesso remoto/VPN corporativa

10.0 Crítico

Produto

SonicWall SMA 1000 (Secure Mobile Access).

CVSS	CVE-2026-83548: 10,0 · Crítico (SSRF não autenticado). CVE-2026-83549: 7,8 · Alto (injeção de comando OS pós-autenticação).

EPSS	CVE-2026-83548: ~0,0071. CVE-2026-83549: ~0,0163.

CISA KEV

SIM. Ambas adicionadas em 02/09/2026, com prazo de correção 05/09/2026 (já expirado).

Exploração

Confirmada pela inclusão no CISA KEV.

PoC	Não identificado nas fontes consultadas.

Descrição

CVE-2026-83548 permite requisição forjada do lado do servidor (SSRF) sem autenticação; combinada à CVE-2026-83549, possibilita execução de comando no sistema operacional.

Impacto

Comprometimento de gateway de acesso remoto, com risco de acesso inicial à rede interna de órgãos que utilizam a solução para VPN/acesso remoto corporativo.

IoC	Revisar logs de acesso administrativo do SMA 1000 e requisições anômalas a serviços internos.

Correção

Aplicar a atualização indicada pelo aviso SonicWall PSIRT imediatamente.

Prazo

Imediato. Prazo do CISA KEV já expirado (05/09/2026).

CVE-2026-82329

JFrog · Gestão de artefatos / CI-CD

9.8 Crítico

Produto

JFrog Artifactory self-managed, em configuração padrão específica (versões a confirmar no aviso oficial do fabricante).

CVSS	Score: 9,8 · Crítico.

EPSS

~0,0767.

CISA KEV

SIM. Adicionada em 02/09/2026, com prazo de correção 05/09/2026 (já expirado).

Exploração

Confirmada pela inclusão no CISA KEV.

PoC	Não identificado nas fontes consultadas.

Descrição

Falha de autenticação imprópria em configuração padrão permite escalonamento a privilégios de administrador sem autenticação válida. Distinta da CVE-2026-66384, já tratada na edição de 31/08/2026 (gravação fora do caminho de cache Docker).

Impacto

Comprometimento total da instância Artifactory, com risco direto à cadeia de suprimentos de software em ambientes de CI/CD do SISP.

IoC	Revisar contas administrativas criadas recentemente e acessos privilegiados não reconhecidos no Artifactory.

Correção

Aplicar a atualização indicada no aviso oficial JFrog (jfrog.com/help/r/jfrog-security-advisories) imediatamente.

Prazo

Imediato. Prazo do CISA KEV já expirado (05/09/2026).

CVE-2026-49869

Kestra · Orquestração de workflows / automação de dados

10.0 Crítico

Produto

Kestra (plataforma open source de orquestração de workflows e automação de dados).

CVSS	Score: 10,0 · Crítico.

EPSS

~0,0192.

CISA KEV

SIM. Adicionada em 02/09/2026, com prazo de correção 05/09/2026 (já expirado).

Exploração

Confirmada pela inclusão no CISA KEV.

PoC	Não identificado nas fontes consultadas.

Descrição

Atacante remoto não autenticado pode criar e executar workflows arbitrários, resultando em execução de comando no sistema operacional.

Impacto

Uso do Kestra no SISP não confirmado nesta pesquisa; produto de orquestração/automação de dados usado em pipelines de DevOps. Recomenda-se que cada órgão verifique exposição própria antes de descartar o risco.

IoC	Monitorar criação de workflows anômalos e execuções de comando não autorizadas na instância Kestra.

Correção

Aplicar a atualização de segurança do projeto Kestra imediatamente.

Prazo

Imediato onde houver a solução em uso.

CVE-2026-59822

LiteLLM · Gateway/proxy para modelos de IA generativa

8.8 Alto

Produto

LiteLLM (gateway/proxy para acesso a modelos de linguagem de IA generativa).

CVSS	Score: 8,8 · Alto.

EPSS

~0,0087.

CISA KEV

SIM. Adicionada em 02/09/2026, com prazo de correção 16/09/2026.

Exploração

Confirmada; associada a campanha ativa contra infraestrutura de IA relatada em conjunto com o Langflow (reverse shells, criptomineração, roubo de chaves de API).

PoC	Não identificado nas fontes consultadas.

Descrição

Autenticação imprópria no endpoint MCP (Model Context Protocol) permite uso de sessão com Bearer token arbitrário, contornando o controle de acesso.

Impacto

Uso do LiteLLM no SISP não confirmado nesta pesquisa; relevante para órgãos que operam gateways de IA generativa (categoria GenAI/AI Security presente no mapa de fabricantes, ex.: Microsoft Purview AI Hub, Copilot for Security, Prisma AI Access Security). Recomenda-se verificação de exposição.

IoC	Revisar chamadas ao endpoint MCP com tokens não emitidos pelo próprio ambiente; monitorar uso anômalo de créditos/API de modelos de IA.

Correção

Atualizar para a versão corrigida indicada pelo mantenedor do LiteLLM.

Prazo

Até 16/09/2026 onde houver o componente em uso.

CVE-2026-85046

Google Chrome · Sexto zero-day de 2026 no navegador

8.8 Alto

Produto

Google Chrome e demais navegadores baseados em Chromium, motor V8.

CVSS	Score: 8,8 · Alto.

EPSS

~0,0116.

CISA KEV

SIM. Adicionada em 04/09/2026, com prazo de correção 18/09/2026.

Exploração

Confirmada pelo Google como exploração ativa (in-the-wild); sexto zero-day do Chrome explorado ativamente em 2026. Detalhes técnicos do ataque não divulgados pelo Google.

PoC	Não identificado publicamente; Google não divulgou detalhes técnicos.

Descrição

Type confusion no motor V8 permite leitura/escrita arbitrária na heap por meio de página HTML maliciosa, podendo levar à execução remota de código no contexto do navegador.

Impacto

Navegador amplamente utilizado em estações de trabalho de órgãos do SISP; exploração bem-sucedida pode levar ao comprometimento inicial do endpoint.

IoC	Sem IoC público divulgado; priorizar atualização imediata do navegador em todos os endpoints.

Correção

Atualizar Chrome/navegadores Chromium para a versão mais recente imediatamente; verificar se a atualização automática está habilitada.

Prazo

Imediato. Prazo do CISA KEV: 18/09/2026.

CVE-2026-0768

Langflow · Construção visual de fluxos de IA generativa/agentes

9.8 Crítico

Produto

Langflow (ferramenta open source de construção visual de fluxos de IA generativa/agentes).

CVSS	Score: 9,8 · Crítico.

EPSS	~0,02338 (FIRST.org, dado de 01/09/2026).

CISA KEV

Não confirmado como incluído no CISA KEV nesta pesquisa; tratar como possível pendência de inclusão.

Exploração

Confirmada e ativa. VulnCheck registrou mais de 360 detecções de exploração, com tráfego de origem associado à Rússia; atividade de reconhecimento, roubo de credenciais e implantação de criptomineradores.

PoC	Exploração documentada por pesquisadores (VulnCheck); não identificamos repositório de PoC público nas fontes consultadas.

Descrição

Falta de validação de entrada permite execução de código Python arbitrário como root, sem necessidade de autenticação.

Impacto

Relevante para órgãos que adotam ferramentas de orquestração de IA generativa (categoria GenAI/AI Security do mapa de fabricantes). Recomenda-se verificação de exposição por cada órgão.

IoC	Monitorar processos Python anômalos originados do serviço Langflow e conexões de saída não usuais (indicativas de mineração ou C2).

Correção

Atualizar para a versão corrigida do Langflow imediatamente; restringir exposição da interface à internet.

Prazo

Imediato para instâncias expostas.

CVE-2026-67276 / CVE-2026-86060

MikroTik · Roteadores/CPE

9.2 Crítico

Produto

MikroTik RouterOS (roteadores/CPEs).

CVSS

CVE-2026-67276: 9,2 · Crítico (bypass de autenticação SSH por validação incompleta de chave pública RSA). CVE-2026-86060: 9,2 · Crítico (escalonamento de privilégio SSH via username malformado). Há um terceiro item na mesma cadeia (serviço bandwidth-test, CVE-2026-67277) sem CVSS oficial confirmado nas fontes consultadas.

EPSS	CVE-2026-86060: ~0,00401. CVE-2026-67276: ~0,00249 (FIRST.org, dados de 06/09/2026).

CISA KEV

Não confirmado como incluído no CISA KEV nesta pesquisa.

Exploração

Confirmada. CERT da Polônia relatou controle total de dispositivos comprometidos; campanha em curso contra dispositivos com SSH exposto à internet.

PoC	Não identificado nas fontes consultadas.

Descrição

Cadeia de falhas no serviço SSH e no serviço bandwidth-test do RouterOS permite bypass de autenticação e escalonamento a privilégios administrativos totais.

Impacto

MikroTik é utilizado em infraestrutura de rede de pequeno e médio porte, incluindo possivelmente unidades descentralizadas do SISP; dispositivo comprometido pode ser usado como ponto de pivotagem ou para ataques de negação de serviço distribuído.

IoC	Verificar exposição do serviço SSH à internet; revisar contas administrativas e configurações alteradas sem autorização.

Correção

Atualizar para RouterOS 7.25beta3, 7.24.2, 7.23.4 ou 6.49.21 (conforme o branch em uso), corrigidas em 03/09/2026; desabilitar exposição de SSH à internet quando não estritamente necessário.

Prazo

Imediato para dispositivos com SSH exposto publicamente.

Item em Observação (Sem CVE Atribuído)

Item em observação, sem CVE atribuído. Em 03-04/09/2026, um pesquisador publicou PoC público no GitHub ('FalconFlank') explorando a funcionalidade de remediação de macros maliciosas do Office no CrowdStrike Falcon Sensor para obter privilégios SYSTEM em Windows 11 25H2 e Windows Server 2025 totalmente atualizados. A CrowdStrike reconheceu o problema e recomendou desabilitar temporariamente a política "Microsoft Office File Suspicious Macro Removal" como mitigação. Recomenda-se que órgãos usuários do CrowdStrike Falcon acompanhem o aviso oficial do fabricante.

Ações Recomendadas aos Órgãos do SISP

1. Imediato, até 72 horas. Tratar as seis CVEs adicionadas ao CISA KEV nesta semana com prazo de correção já vencido ou próximo do vencimento: SonicWall SMA 1000 (CVE-2026-83548/83549) e JFrog Artifactory (CVE-2026-82329) e Kestra OSS (CVE-2026-49869) já venceram o prazo do KEV em 05/09/2026. Atualizar o Google Chrome (CVE-2026-85046) em todos os endpoints, por se tratar de zero-day confirmado em exploração ativa.

2. Curto prazo, até 7 dias. Priorizar o lote de identidade da Microsoft (Entra ID, Azure, Copilot Studio) pela criticidade do Entra ID como provedor de identidade federada, ainda que sem exploração ativa confirmada. Tratar Cisco Nexus 9000 e Cisco IOS XR em equipamentos de borda ou com portas de gerência expostas, e o VMware Workstation/Fusion em estações que executam VMs de terceiros. Prazo do CISA KEV para LiteLLM vence em 16/09/2026.

3. Verificação de exposição em componentes de IA generativa e automação. Recomenda-se que cada órgão realize varredura de inventário para confirmar ausência ou presença de Langflow, LiteLLM e Kestra antes de descartar o risco, dada a exploração ativa já confirmada em pelo menos dois deles (Langflow, LiteLLM).

4. Infraestrutura de rede descentralizada. Roteadores MikroTik com SSH exposto à internet devem ser identificados e corrigidos com urgência, dada a campanha ativa "MikroTrick" em curso contra dispositivos com essa exposição.

5. Investigação e governança. Para os itens do KEV e demais itens com exploração ativa confirmada, não limitar a resposta à aplicação de patch: verificar sinais de comprometimento anteriores à correção, com base nos advisories oficiais e na telemetria disponível.

Fontes Consultadas

Exploração Ativa e KEV

CISA: Known Exploited Vulnerabilities Catalog CISA: adição de 7 CVEs ao KEV (02/09/2026) CISA: adição de 1 CVE ao KEV (04/09/2026) FIRST.org: Exploit Prediction Scoring System (EPSS)

Bases de CVE e CVSS

NVD: pesquisa de vulnerabilidades CVE.org: registro oficial de CVE

Fabricantes

Microsoft: MSRC Update Guide Cisco: Security Advisories (PSIRT) Broadcom/VMware: Security Advisories (VMSA-2026-0007) JFrog: Security Advisories

Notícias e Inteligência de Ameaças

The Hacker News: cobertura CISA KEV (02/09/2026) The Hacker News: Cisco Nexus 9000 (CVE-2026-20212) The Hacker News: campanha Langflow/LiteLLM The Hacker News: VMware Workstation/Fusion (CVE-2026-59346) BleepingComputer: campanha MikroTrick (MikroTik RouterOS) BleepingComputer: zero-day Chrome (CVE-2026-85046) The Hacker News: PoC FalconFlank (CrowdStrike Falcon)

CISC GOV.BR
Centro Integrado de Segurança Cibernética do Governo Digital
Boletim de Vulnerabilidades · Emitido em 08/09/2026

cisc.gov.br

Boletim do CISC de Vulnerabilidades

Links de compartilhamento em redes sociais