CISC GOV.BR

Boletim de Vulnerabilidades

Centro Integrado de Segurança Cibernética do Governo Digital

Emissão: 09/11/2026

Vulnerabilidades em acompanhamento

Exploração ativa confirmada

PoC público

9.8

CVSS máximo

Sumário Executivo

Este boletim reúne cinco itens. A prioridade máxima é o Ivanti Connect Secure: a CVE-2026-111357 e a CVE-2026-118527 entraram no catálogo KEV da CISA em 30/10/2026 e completam a cadeia de ataque iniciada pela CVE-2026-104935, explorada pelo agrupamento UTA0576 desde 03/10/2026, com roubo de credenciais e consultas ao Active Directory por senhas LAPS e chaves do BitLocker. As correções de 13/10/2026 não cobrem as duas falhas, e um resultado limpo do Integrity Checker Tool não descarta comprometimento.

Também há exploração ativa no OpenSSH em sistemas com musl libc e sem PAM, como o Alpine Linux (CVE-2026-123158, CVSS 8,1): uma senha de 257 a 1.024 bytes dá acesso sem credenciais. A primeira tentativa de exploração ocorreu menos de nove horas após a divulgação, com acesso root confirmado em honeypot.

A IBM corrigiu 208 vulnerabilidades no API Connect, com oito falhas de 9,8 exploráveis sem autenticação, entre elas credencial embutida e injeção de comandos, e uma falha crítica no Aspera Faspex. No Red Hat Build of Keycloak, a CVE-2026-120984 (9,1) permite execução de código por política JavaScript e ainda não tem correção. A SUSE corrigiu no Rancher e no Fleet falhas de 9,1 que levam a vazamento de credenciais e a cluster-admin.

Vulnerabilidades Identificadas

CVE	Produto / Descrição	Score CVSS	EPSS	CISA KEV	Exploração Ativa	PoC Público
CVE-2026-111357 / CVE-2026-118527	Ivanti Connect Secure: Escalonamento para Root e Upload de Arquivos, Encadeados com a CVE-2026-104935 em Ataques Ativos	8.8 Alto	0,82%	SIM	SIM	NÃO
CVE-2026-123158	OpenSSH (sshole): Bypass de Autenticação por Senha em Sistemas com musl libc e sem PAM (Alpine Linux)	8.1 Alto	1,01%	NÃO	SIM	NÃO
CVE-2026-17360 / CVE-2026-17408 / CVE-2026-17301 / CVE-2026-123218	IBM API Connect (208 CVEs, 47 Críticas) e IBM Aspera Faspex: Credencial Embutida, Injeção de Comandos e Bypass de Autenticação	9.8 Crítico	0,93%	NÃO	NÃO	NÃO
CVE-2026-120984 / CVE-2026-97175	Red Hat Build of Keycloak e RH-SSO 7: Execução de Código no Servidor via Política JavaScript (Sem Correção) e Tomada de Conta via IdP Externo	9.1 Crítico	0,42%	NÃO	NÃO	NÃO
CVE-2026-88811 / CVE-2026-94290	SUSE Rancher e Rancher Fleet: Vazamento de Credenciais pelo Meta Proxy e Escalonamento para Cluster-Admin	9.1 Crítico	0,50%	NÃO	NÃO	NÃO

EPSS consultado na API da FIRST.org em 09/11/2026; nos itens agrupados, a tabela mostra o maior valor. Dados voláteis: reconfirmar CVSS, KEV, versões corrigidas e status de exploração nas fontes primárias.

Detalhamento das Vulnerabilidades

CVE-2026-111357 / CVE-2026-118527

Ivanti · Connect Secure: zero-days encadeados com exploração ativa

8.8 Alto

Produto

Ivanti Connect Secure 25.1.1.2 e anteriores (corrigido na 25.1.1.3) e 22.8R2.5 e anteriores (corrigido na 22.8R2.6). As correções de 13/10/2026 (25.1.1.2 e 22.8R2.5) tratam apenas a CVE-2026-104935 e não cobrem estas duas falhas. A Ivanti recomenda migrar da linha 22.8 para a 25.1.1.3 ou superior. Appliances ISA4500, ISA6500 e ISA8500 na 25.1.3.0 ou superior não são afetados, segundo a fabricante.

CVSS

CVE-2026-111357: 8,8 (Alto) pela Ivanti (CVSS v3.1); a Rapid7 e o registro da CVE indicam 7,0, por considerarem alta complexidade e escopo inalterado. CVE-2026-118527: 4,3 (Médio, CVSS v3.0). O score baixo da segunda não reflete o risco, já que ela compõe a cadeia explorada. A CVE-2026-104935, usada como acesso inicial, tem 8,6.

EPSS	CVE-2026-111357: 0,53% (percentil 45); CVE-2026-118527: 0,82% (percentil 58). FIRST.org, 09/11/2026; dado volátil.

CISA KEV

SIM. As duas incluídas em 30/10/2026, com prazo de 13/11/2026 para as agências federais dos EUA.

Exploração

SIM. A Volexity atribui a campanha ao agrupamento UTA0576, ativo desde 03/10/2026. A cadeia combina a CVE-2026-104935 (bypass de autenticação por falsificação) com a CVE-2026-111357 (escalonamento para root) e a CVE-2026-118527 (upload de arquivo para caminho conhecido). Após o acesso, os atacantes roubaram credenciais e consultaram o Active Directory em busca de senhas do Windows LAPS e de chaves de recuperação do BitLocker. A Ivanti fala em número limitado de clientes afetados. A Volexity relata que a atividade escapa do Integrity Checker Tool (ICT).

PoC	NÃO identificado para estas duas CVEs. Para a CVE-2026-104935, já existem repositórios públicos no GitHub, cuja funcionalidade não foi validada por este Centro.

Descrição

CVE-2026-111357: confiança indevida em dados de configuração do DSCache, que permite a um usuário autenticado local escalar para root. CVE-2026-118527: identificadores previsíveis permitem a um usuário autenticado remoto enviar arquivos a um caminho conhecido do appliance.

Impacto

Comprometimento total do concentrador de VPN, com roubo de credenciais de usuários remotos e uso do appliance como ponto de partida para o Active Directory. O acesso a senhas LAPS e a chaves do BitLocker amplia o alcance para estações e servidores do órgão.

IoC

Rede: 108.165.147[.]64. Requisições a /dana-na/auth/url_default/welcome.cgi com divergências no cabeçalho X-DSCGI-PATH. Arquivos: em /tmp/ (ml.py, rq5.py, mk.py, rr.py, pu.txt, sp_out.txt, spray_hits.json), em /data/.icscap/ (dsstatmond, cap*, h.py) e em /home/runtime/tmp/ (ics-root-run-inband-*.pl, ics-root-result-inband-*). Verificar exclusão seletiva em /home/runtime/dlogs/debuglog e /var/log/audit/audit.log. A Volexity disponibiliza regras YARA e lista de IoCs.

Correção

Atualizar em caráter emergencial para a 25.1.1.3 ou a 22.8R2.6. Um resultado limpo do ICT não descarta comprometimento: preservar memória e logs antes de reiniciar ou restaurar, investigar com os IoCs acima e, havendo suspeita, seguir o procedimento de recuperação da Ivanti e trocar todas as credenciais que passaram pelo appliance, inclusive contas de serviço do AD, e rotacionar as senhas LAPS e as chaves do BitLocker consultadas.

Prazo

Imediato.

CVE-2026-123158

OpenSSH (“sshole”) : bypass de autenticação por senha em Linux com musl libc sem PAM

8.1 Alto

Produto

OpenSSH sshd em Linux com musl libc e PAM desabilitado, incluindo a configuração padrão do servidor OpenSSH no Alpine Linux. Não são afetados: Dropbear, distribuições com glibc, sistemas não Linux e sistemas que validam senha via PAM. A faixa exata de versões do OpenSSH não foi informada nas fontes consultadas. Corrigido no OpenSSH 10.6p2 ou no pacote corrigido da distribuição.

CVSS	8,1 (Alto), conforme a imprensa especializada e o alerta do CCB (Bélgica). Vetor não confirmado em fonte primária.

EPSS	1,01% (percentil 63), consulta à API da FIRST.org em 09/11/2026; dado volátil.

CISA KEV

NÃO (catálogo consultado em 09/11/2026).

Exploração

SIM. A Previdian registrou a primeira tentativa menos de nove horas após a publicação da CVE e confirmou acesso root em honeypot Alpine. Até 08/11/2026 foram 20 tentativas, a partir de 13 IPs distintos, com comandos de reconhecimento (id, uname, hostname) em sessões SSH não interativas.

PoC	NÃO identificado como repositório público. A técnica, porém, é trivial: uma senha de 257 a 1.024 bytes. Há exploração real observada, o que torna a ausência de PoC público pouco relevante para a priorização.

Descrição

Uma senha de 257 a 1.024 bytes faz o hash falhar na musl; o retorno de erro é “*”, valor idêntico ao marcador de conta sem senha, e o sshd aceita o login. A condição prévia é existir ao menos uma conta com “*” como hash de senha (contas de sistema ou contas só com chave). A falha tem origem em correção de 2016 para enumeração de usuários (CVE-2016-6210). Descoberta por Ozgun Kultekin.

Impacto

Acesso remoto sem credenciais, com as permissões da conta alcançada, em servidores SSH Alpine expostos. Relevante para imagens de contêiner baseadas em Alpine que executem sshd, appliances e VMs leves. Se a imagem não executa sshd, a exposição não existe.

IoC

Buscar em /var/log/messages entradas “Accepted password for” do sshd para contas que não deveriam autenticar por senha (alpine, root, contas só com chave). Revisar uso do doas, usuários e arquivos criados recentemente e authorized_keys. Se um login não puder ser descartado, tratar o host como comprometido. Tentativas observadas: primeiro IP 89.116.89.18 (Japão), conforme a Previdian; indicador volátil, não utilizar como único bloqueio.

Correção

Atualizar para o OpenSSH 10.6p2 (ou o pacote corrigido do Alpine) e reiniciar o sshd. Como mitigação, habilitar PAM, desabilitar a autenticação por senha (PasswordAuthentication no) ou restringir o acesso SSH por firewall e VPN. Inventariar imagens e hosts Alpine que executam sshd.

Prazo

Imediato para sshd Alpine exposto à internet; até 7 dias para os demais.

CVE-2026-17360 / CVE-2026-17408 / CVE-2026-17301 / CVE-2026-123218

IBM · API Connect e Aspera Faspex: lote de 208 CVEs, com falhas críticas exploráveis sem autenticação

9.8 Crítico

Produto

IBM API Connect 10.0.8.0 a 10.0.8.12 (corrigido na 10.0.8.13) e 12.1.0.0 a 12.1.1.2 (73 das falhas afetam apenas esta linha; recomendamos confirmar a versão corrigida no boletim da IBM). IBM Aspera Faspex 5.0.0 a 5.0.19 (CVE-2026-123218); a versão corrigida não foi confirmada nas fontes consultadas.

CVSS

Oito falhas exploráveis sem autenticação, com 9,8: CVE-2026-17360 (credencial embutida com controle administrativo total), CVE-2026-17408 (injeção de comandos no sistema operacional), CVE-2026-17301 (bypass de autenticação por falha na verificação de assinatura), CVE-2026-17340 (path traversal com execução de código), CVE-2026-17313 (caminho alternativo de autenticação, com controle da configuração do gateway), CVE-2026-16720 (roubo de token e personificação), CVE-2026-17278 (bypass de autenticação com exposição do catálogo de APIs) e CVE-2026-17362 (ausência de autorização na alteração de configuração de tenants). Há ainda diversas falhas com 9,9 que exigem conta válida, entre elas a CVE-2026-17402 (injeção de comandos) e a CVE-2026-17392 (injeção LDAP com acesso administrativo a outros tenants). Aspera Faspex: CVE-2026-123218, 9,8. Pontuações atribuídas pela IBM.

EPSS	CVE-2026-17408: 0,93% (percentil 61); CVE-2026-17360: 0,58%; CVE-2026-17301: 0,44%; CVE-2026-123218: 0,40%. FIRST.org, 09/11/2026; dado volátil.

CISA KEV

NÃO.

Exploração

Sem exploração confirmada. CVEs publicadas em 07/11/2026. O volume e a existência de credencial embutida tendem a atrair engenharia reversa do patch em pouco tempo. Versões antigas do Aspera Faspex já foram exploradas por grupos de ransomware em 2023 (CVE-2022-47986), o que indica interesse prévio de atacantes no produto.

PoC	NÃO. Sem exploit público, módulo Metasploit ou entrada no Exploit-DB identificados.

Descrição

Lote de 208 vulnerabilidades no API Connect (47 críticas, 94 altas, 64 médias e 3 baixas), com injeções de comandos, SQL e LDAP, path traversal, SSRF, upload irrestrito, credenciais e chaves embutidas e falhas de isolamento entre tenants. No Aspera Faspex, a CVE-2026-123218 permite a um usuário obter privilégios administrativos por meio de uma mensagem elaborada.

Impacto

O API Connect costuma ficar exposto à internet como gateway e portal de APIs de serviços públicos e de integração entre órgãos. O comprometimento dá acesso a chaves de API, tokens OAuth, configurações de backends e dados trafegados, além de controle sobre a publicação de APIs. O Aspera Faspex é usado para transferência de arquivos volumosos, frequentemente com dados sensíveis.

IoC	Sem indicadores publicados. Revisar logins administrativos, criação de contas e alterações de configuração do gateway e do catálogo de APIs, chamadas de saída inesperadas a partir do servidor (SSRF) e arquivos novos nos diretórios da aplicação.

Correção

Atualizar o API Connect 10.0.8.x para a 10.0.8.13 e o ramo 12.1 para a versão indicada pela IBM; a IBM não lista workaround. Até a atualização, restringir as interfaces de gerência e de administração do portal a redes internas. Atualizar o Aspera Faspex conforme o boletim da IBM e trocar credenciais de administração e chaves de API após a correção.

Prazo

Imediato para instâncias expostas à internet; até 7 dias para as demais.

CVE-2026-120984 / CVE-2026-97175

Red Hat · Keycloak: execução de código por política JavaScript, ainda sem correção

9.1 Crítico

Produto

Red Hat Build of Keycloak (keycloak-services e imagem rhbk/keycloak-rhel9) e Red Hat Single Sign-On 7 (keycloak-services). O Keycloak upstream possivelmente é afetado; recomendamos verificar. Para a CVE-2026-120984 não há versão corrigida: a Red Hat informa não ter correção ou mitigação que atenda a seus critérios. CVE-2026-97175: versões corrigidas não confirmadas nas fontes consultadas; a Red Hat publicou atualizações do Keycloak 26.4.17, 26.6.8 e 26.6.9 na semana, cuja relação com esta CVE recomendamos verificar.

CVSS	CVE-2026-120984: 9,1 (Crítico), CVSS v3.1 AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, atribuído pela Red Hat. CVE-2026-97175: 8,8 (Alto).

EPSS	CVE-2026-120984: 0,42% (percentil 36); CVE-2026-97175: 0,36% (percentil 29). FIRST.org, 09/11/2026; dado volátil.

CISA KEV

NÃO.

Exploração

Sem exploração relatada. CVE-2026-120984 publicada em 07/11/2026.

PoC

NÃO.

Descrição

CVE-2026-120984: ao criar ou importar um cliente com serviços de autorização habilitados, um atributo interno de sessão não é limpo. Um usuário autenticado com permissão de gestão de clientes envia uma política JavaScript maliciosa, executada no servidor durante as requisições de autorização. CVE-2026-97175: tomada de conta a partir de e-mails não verificados vindos de provedores de identidade externos.

Impacto

Execução de código no servidor de identidade e comprometimento de todos os realms hospedados na mesma instância, inclusive de outros sistemas que usam o SSO. A exigência de privilégio de gestão de clientes reduz a superfície, mas esse papel costuma ser delegado a equipes de sistemas e a administradores de realms.

IoC	Sem indicadores publicados. Auditar a criação e a importação de clientes com Authorization Services habilitado, políticas do tipo JavaScript, uploads de providers e eventos administrativos fora de janelas de mudança.

Correção

Enquanto não houver correção: reduzir ao mínimo as contas com papéis manage-clients e create-client, inclusive em realms secundários; manter desabilitado o upload de scripts (recurso scripts) quando não for necessário; e revisar as políticas JavaScript existentes. Para a CVE-2026-97175, exigir e-mail verificado nos IdPs externos e revisar a configuração de vinculação automática de contas (first broker login). Acompanhar o boletim da Red Hat.

Prazo

Mitigações em até 7 dias; aplicar a correção assim que publicada.

CVE-2026-88811 / CVE-2026-94290

SUSE · Rancher e Fleet: vazamento de credenciais e escalonamento para cluster-admin

9.1 Crítico

Produto

Rancher 2.11 a 2.15, corrigido nas versões 2.15.3, 2.14.7, 2.13.11, 2.12.15 e 2.11.19. Fleet standalone anterior às versões 0.16.3, 0.14.12 e 0.13.17 e à versão corrigida do ramo 0.15 (a imprensa cita 0.15.8 e 0.15.17; recomendamos confirmar no aviso da SUSE). Correções publicadas em 29/10/2026 e divulgadas pela imprensa especializada em 03 e 04/11/2026.

CVSS	9,1 (Crítico) para ambas, CVSS v3, atribuído pela SUSE. Falhas relacionadas do mesmo lote: CVE-2026-88809 (SSRF no meta proxy, 7,6), CVE-2026-104615 (sequestro de identidade de cluster no Fleet, 7,9) e CVE-2026-104623 (shell no cluster local para qualquer usuário autenticado, 6,3).

EPSS	CVE-2026-94290: 0,50% (percentil 43); CVE-2026-88811: 0,43% (percentil 37). FIRST.org, 09/11/2026; dado volátil.

CISA KEV

NÃO.

Exploração

Sem exploração confirmada, segundo a SUSE.

PoC

NÃO.

Descrição

CVE-2026-88811: o meta proxy do Rancher nem sempre remove os cookies e tokens de API do usuário ao repassar requisições a hosts de terceiros, vazando essas credenciais. CVE-2026-94290: o controlador de agentes do Fleet não restringe quais secrets de kubeconfig um objeto Cluster pode referenciar, o que permite a um usuário com o papel global padrão chegar a cluster-admin no cluster de gestão.

Impacto

Controle do cluster de gestão do Rancher e, a partir dele, de todos os clusters Kubernetes gerenciados. Plataformas de contêineres concentram aplicações e segredos de vários sistemas.

IoC	Sem indicadores publicados. Auditar role bindings inesperados, objetos Cluster do Fleet que referenciem secrets de kubeconfig administrativos, pods de shell desconhecidos no namespace cattle-system e uso de tokens de API a partir de origens incomuns.

Correção

Atualizar o Rancher e o Fleet para as versões corrigidas. Rotacionar os tokens de API usados com o meta proxy. Retirar direitos de autosserviço de workspace de contas não confiáveis.

Prazo

Até 7 dias.

Ações Recomendadas aos Órgãos do SISP

1. Prioridade máxima, imediato. Atualizar o Ivanti Connect Secure para a 25.1.1.3 ou a 22.8R2.6, preservar evidências, procurar os IoCs e trocar as credenciais que passaram pelo appliance, inclusive senhas LAPS e chaves do BitLocker. Atualizar o OpenSSH para a 10.6p2 em hosts Alpine com sshd exposto.

2. Exposição à internet, imediato. Atualizar o IBM API Connect (10.0.8.13 ou a versão indicada para o ramo 12.1) e o Aspera Faspex, restringindo as interfaces administrativas até a atualização.

3. Curto prazo, até 7 dias. Aplicar as mitigações do Keycloak (CVE-2026-120984), reduzindo as contas com gestão de clientes e revisando políticas JavaScript. Atualizar o Rancher e o Fleet e rotacionar os tokens.

4. Governança. Inventariar appliances Ivanti, hosts e imagens Alpine com sshd, instâncias do API Connect, Aspera Faspex, Keycloak e Rancher. Reconfirmar CVSS, KEV, EPSS e versões corrigidas, que podem ter mudado desde a emissão deste boletim, e acompanhar a correção da CVE-2026-120984 pela Red Hat.

Fontes Consultadas

Exploração ativa e KEV

CISA: Known Exploited Vulnerabilities Catalog CISA: inclusão de duas vulnerabilidades no KEV (30/10/2026)FIRST.org: API do EPSS

Fabricantes

IBM: Security Bulletin, múltiplas vulnerabilidades no IBM API Connect SUSE: Rancher Security Advisories and CVEs

Notícias e Inteligência de Ameaças

Rapid7: novos zero-days do Ivanti Connect Secure explorados SecurityWeek: Ivanti corrige mais dois zero-days da cadeia do Connect Secure The Hacker News: OpenSSH sshole explorado horas após a divulgação Help Net Security: exploração da CVE-2026-123158 CCB Bélgica: alerta sobre a CVE-2026-123158 SecurityOnline: IBM corrige 208 vulnerabilidades no API Connect OffSeq: CVE-2026-120984 no Red Hat Build of Keycloak (fonte secundária)SecurityOnline: vulnerabilidades do Rancher (CVE-2026-88811)SecurityOnline: vulnerabilidades do Fleet (CVE-2026-94290)CVE Brief: resumo diário de 07/11/2026

CISC GOV.BR
Centro Integrado de Segurança Cibernética do Governo Digital
Boletim de Vulnerabilidades · Emitido em 09/11/2026

Boletim do CISC de Vulnerabilidades

Links de compartilhamento em redes sociais