CISC GOV.BR Boletim de Vulnerabilidades

Centro Integrado de Segurança Cibernética do Governo Digital

Emissão: 27/07/2026

CVEs em acompanhamento

Exploração ativa

PoC público confirmado

10.0

CVSS máximo

Sumário Executivo

⚠ Atenção: este boletim reúne nove vulnerabilidades críticas com exploração ativa ou risco elevado confirmado em múltiplos fabricantes: bypass de autenticação no plano de gerenciamento da Check Point (CVE-2026-16232), RCE não autenticado no Microsoft SharePoint Server (CVE-2026-58644), execução de código no Adobe ColdFusion (CVE-2026-48282, CVSS 10.0), zero-days no SonicWall SMA1000 (CVE-2026-15409/15410) e uma falha tipo "CitrixBleed" no Citrix NetScaler (CVE-2026-8451), todas com exploração confirmada. Complementam a lista uma segunda falha crítica na Check Point (CVE-2026-62144), uma falha sem workaround no VMware Avi Load Balancer (CVE-2026-47865) e um bug de máxima urgência no Palo Alto PAN-OS (CVE-2026-0288), sem exploração confirmada até o momento.

Em 22/07/2026 a Check Point publicou advisory de segurança para múltiplas vulnerabilidades em Security Management, Multi-Domain Management e produtos de firewall. A mais grave, CVE-2026-16232, é um bypass de autenticação no processo de login do SmartConsole, com exploração ativa confirmada pelo fabricante e prazo federal CISA já vencido (25/07/2026). O mesmo advisory corrigiu CVE-2026-62144, falha crítica de mesma superfície ainda sem exploração conhecida.

A Microsoft confirmou exploração ativa do CVE-2026-58644, RCE não autenticado por desserialização no SharePoint Server on-premises (2016, 2019 e Subscription Edition), incluído no CISA KEV com prazo federal já vencido. A Adobe corrigiu o CVE-2026-48282 (CVSS 10.0) no ColdFusion, path traversal na Remote Development Services que permite escrita arbitrária de arquivo e RCE; a falha foi armada horas após a publicação de análises técnicas do patch e consta no CISA KEV.

A SonicWall confirmou exploração ativa de dois zero-days no SMA1000: CVE-2026-15409 (SSRF pré-autenticação, CVSS 10.0) e CVE-2026-15410 (injeção de comando pós-autenticação, CVSS 7.2), ambos no CISA KEV com prazo federal vencido em 17/07/2026. No Citrix NetScaler, o CVE-2026-8451 (memory overread via SAML IDP, CVSS 8.8, padrão "CitrixBleed") foi explorado em menos de 24 horas após a divulgação e ainda não consta no catálogo CISA KEV.

Por fim, o CVE-2026-47865 (VMware Avi Load Balancer, bypass de autenticação no Control Plane, CVSS 9.8) não tem workaround disponível, apenas patch; e o CVE-2026-0288 (Palo Alto PAN-OS, estouro de buffer no User-ID Terminal Server Agent) recebeu classificação de urgência máxima do fabricante, ainda sem exploração confirmada.

Vulnerabilidades Identificadas

CVE	Produto / Versões	Score CVSS	CISA KEV	Exploração Ativa	PoC Público
CVE-2026-16232	Check Point SmartConsole / Security Management / MDS: Bypass de Autenticação	9.1 Crítico	SIM	SIM	NÃO
CVE-2026-62144	Check Point Security Management / MDS: Bypass de Autenticação e Escalada de Privilégio	9.1 Crítico	NÃO	NÃO	NÃO
CVE-2026-58644	Microsoft SharePoint Server 2016/2019/SE: RCE por Desserialização	9.8 Crítico	SIM	SIM	NÃO
CVE-2026-48282	Adobe ColdFusion (RDS FILEIO): Path Traversal / Escrita Arbitrária de Arquivo	10.0 Crítico	SIM	SIM	NÃO
CVE-2026-15409	SonicWall SMA1000 (Workplace): SSRF Pré-Autenticação	10.0 Crítico	SIM	SIM	NÃO
CVE-2026-15410	SonicWall SMA1000 (AMC): Injeção de Comando Pós-Autenticação	7.2 Alto	SIM	SIM	NÃO
CVE-2026-8451	Citrix NetScaler ADC/Gateway (SAML IDP): Leitura Fora dos Limites / Vazamento de Memória	8.8 Alto	NÃO*	SIM	NÃO
CVE-2026-47865	VMware Avi Load Balancer (Control Plane): Bypass de Autenticação	9.8 Crítico	NÃO	NÃO	NÃO
CVE-2026-0288	Palo Alto PAN-OS (User-ID Terminal Server Agent): Estouro de Buffer	9.2 Crítico	NÃO	NÃO	NÃO

* CVE-2026-8451: exploração confirmada por telemetria de terceiros, mas ainda não incluído no catálogo CISA KEV até o fechamento desta edição.

Detalhamento das Vulnerabilidades

CVE-2026-16232

Check Point SmartConsole (login process): Autenticação Inadequada · CWE-287

Score CVSS: 9.1 : Crítico

Produto

Check Point Security Management Server e Multi-Domain Security Management (MDS), acessados via SmartConsole. Versões afetadas: R82.10 (corrigida no Jumbo Hotfix Take 36+), R82 (Take 118+), R81.20 (Take 158+), R81.10, R81, R80.30, R80.20, R80.10, R80 e R77.30 (sem fix específico informado pelo fabricante).

CVSS	Score CISA: 9,1 · Score do fabricante: 9,3 · Severidade: Crítico. Divergência entre fontes: reportamos ambos os valores por transparência; a CISA usa 9,1 como base para o prazo do KEV.

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 22/07/2026, prazo federal CISA 25/07/2026 (vencido há 2 dias no fechamento desta edição).

Exploração

Confirmada pelo fabricante. A Check Point declara exploração ativa contra um número reduzido de clientes, com evidências de que a falha foi explorada antes da disponibilidade do patch. Seis endereços IP associados à exploração observada foram publicados pelo fabricante como indicadores de comprometimento.

POC	Não identificado PoC público até o fechamento desta edição, segundo as fontes consultadas.

Descrição

Falha no processo de login do SmartConsole que permite a um atacante remoto, sem autenticação prévia, obter um token de login de aplicação válido e autenticar-se no Security Management Server ou MDS com privilégios administrativos completos. A exploração exige acesso de rede ao IP do Management Server em ambientes sem restrição de Trusted Clients.

Impacto

O Security Management Server está no topo da hierarquia de confiança do ambiente Check Point: um atacante com acesso administrativo pode alterar políticas de segurança em todos os gateways gerenciados, modificar permissões de administrador, manipular configurações de VPN e desabilitar ou adulterar logging e monitoramento.

Correção

Aplicar o Jumbo Hotfix correspondente à versão em uso, em caráter emergencial, sem aguardar o ciclo regular de patch. Onde a instalação imediata não for possível: restringir Trusted Clients a IPs/sub-redes confiáveis, proteger o acesso de gerenciamento por firewall e verificar se as regras implícitas para conexões de controle estão habilitadas.

Prazo Imediato (0 a 72h): prazo federal CISA já vencido (25/07/2026); órgãos SISP com Check Point Security Management/MDS expostos devem tratar como incidente ativo e investigar indicadores de comprometimento mesmo após aplicar o hotfix.

CVE-2026-62144

Check Point Security Management / Multi-Domain Management: Bypass de Autenticação e Escalada de Privilégio

Score CVSS: 9.1 : Crítico

Produto

Check Point Security Management e Multi-Domain Management, mesmas famílias de release do CVE-2026-16232 (R81.10, R81.20, R82, R82.10 e versões anteriores, conforme advisory do fabricante).

CVSS	Score CISA: 9,1 · Score do fabricante: 9,3 · Severidade: Crítico.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

Sem exploração conhecida até o fechamento desta edição, segundo o advisory do fabricante e as fontes consultadas.

POC	Sem PoC público conhecido.

Descrição

Bypass de autenticação e escalada de privilégio no plano de gerenciamento, divulgada no mesmo advisory do CVE-2026-16232. O fabricante não detalhou publicamente o vetor técnico completo; recomendamos consultar o boletim oficial (sk185169) para detalhes de exploração.

Impacto

Mesma superfície crítica do CVE-2026-16232 (plano de gerenciamento Check Point); comprometimento pode resultar em alteração de políticas de segurança e configurações de VPN em gateways gerenciados.

Correção

Corrigida pelo mesmo Jumbo Hotfix publicado em 22/07/2026 para o CVE-2026-16232. Aplicar em conjunto.

Prazo Curto prazo (até 7 dias): sem KEV nem exploração confirmada, mas CVSS crítico e correção já disponível no mesmo hotfix do CVE-2026-16232, aplicar em conjunto.

CVE-2026-58644

Microsoft SharePoint Server: Execução Remota de Código por Desserialização · CWE-502

Score CVSS: 9.8 : Crítico

Produto

SharePoint Enterprise Server 2016, SharePoint Server 2019 e SharePoint Server Subscription Edition (instalações on-premises; SharePoint Online não é afetado).

CVSS	Score: 9,8 (CVSS 3.1) · Severidade: Crítico.

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 16/07/2026; prazo federal já vencido no fechamento desta edição.

Exploração

Confirmada pela Microsoft. O comunicado original de 14/07/2026 foi posteriormente revisado para esclarecer que a falha já vinha sendo explorada como zero-day antes da disponibilidade do patch.

POC	Até o fechamento desta edição, nenhum endereço IP, domínio, URL ou outro indicador de rede foi amplamente divulgado; sem PoC público conhecido.

Descrição

Desserialização de dados não confiáveis no processamento de requisições server-side do SharePoint, permitindo que um atacante não autenticado envie dados serializados maliciosos a uma rota de processamento vulnerável e execute código arbitrário.

Impacto

Execução remota de código não autenticada em servidores SharePoint on-premises.

Correção

Aplicar a atualização de segurança de 14/07/2026 em todos os servidores SharePoint afetados; confirmar sucesso da instalação em todos os nós; habilitar integração AMSI em todas as aplicações web do SharePoint; monitorar detecções Defender/AMSI (assinaturas Exploit:Script/SuspSignoutReqBody.A e Exploit:Script/ToolPaneAuthBypass.A).

Prazo Imediato (0 a 72h): prazo federal CISA já vencido; tratar como incidente ativo em ambientes SharePoint on-premises não corrigidos.

CVE-2026-48282

Adobe ColdFusion (Remote Development Services / FILEIO): Path Traversal · CWE-22

Score CVSS: 10.0 : Crítico

Produto

Adobe ColdFusion 2025.9, 2023.20 e versões anteriores.

CVSS	Score: 10,0 (máximo) · Severidade: Crítico.

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 07/07/2026.

Exploração

Confirmada. A Adobe publicou o patch (APSB26-68) em 30/06/2026; após análises técnicas publicadas por pesquisadores em 02/07/2026, a falha foi armada e passou a ser explorada em produção em curto espaço de tempo.

POC	Análises técnicas do patch foram publicadas por pesquisadores; não confirmamos exploit completo publicado como PoC público nesta pesquisa.

Descrição

Falha de validação de entrada no FileServlet do componente Remote Development Services (RDS), endpoint /CFIDE/main/ide.cfm?ACTION=FILEIO: strings de caminho fornecidas pelo usuário são processadas sem canonicalização, checagem de raiz ou sanitização de sequências "../", permitindo escrita arbitrária de arquivo. Direcionando o webroot, um atacante pode enviar arquivos CFML maliciosos e obter RCE não autenticado sob a conta de serviço do ColdFusion.

Impacto

Comprometimento total do servidor de aplicação ColdFusion.

Correção

Aplicar o patch da Adobe (APSB26-68). Onde a instalação imediata não for possível, restringir ou desabilitar o acesso ao Remote Development Services (RDS), especialmente a exposição do endpoint FILEIO à internet.

Prazo Imediato (0 a 72h): CVSS máximo, KEV e exploração ativa confirmada; tratar instâncias não corrigidas como potencialmente comprometidas.

CVE-2026-15409

SonicWall SMA1000 (Appliance Work Place): Server-Side Request Forgery Pré-Autenticação

Score CVSS: 10.0 : Crítico

Produto

SonicWall SMA1000 (interface Appliance Work Place). Versão corrigida não confirmada nesta pesquisa; recomendamos consultar o comunicado oficial da SonicWall para o número de build específico.

CVSS	Score: 10,0 (CVSS 3.x, máximo) · Severidade: Crítico.

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 14/07/2026, prazo federal 17/07/2026 (vencido).

Exploração

Confirmada pela SonicWall e por pesquisadores (Rapid7 MDR). A empresa relata múltiplos casos de exploração, com indícios de que CVE-2026-15409 e CVE-2026-15410 foram encadeadas nos ataques observados.

POC	Sem PoC público conhecido até o fechamento desta edição.

Descrição

SSRF na interface Workplace do SMA1000 que permite a um atacante remoto não autenticado forçar o appliance a fazer requisições de rede para destinos de sua escolha, alcançando serviços vinculados à interface local do appliance.

Impacto

Combinada ao CVE-2026-15410, permite comprometimento completo de appliances de acesso remoto.

Correção

Aplicar a versão corrigida indicada pela SonicWall imediatamente. Em caso de suspeita de comprometimento, o fabricante recomenda reimagear appliances físicos ou reimplantar appliances virtuais, trocar todas as senhas de usuário/administrador e resetar tokens TOTP.

Prazo Imediato (0 a 72h): prazo federal já vencido (17/07/2026); realizar análise forense antes da remediação para determinar comprometimento prévio.

CVE-2026-15410

SonicWall SMA1000 (Appliance Management Console): Injeção de Comando Pós-Autenticação

Score CVSS: 7.2 : Alto

Produto

SonicWall SMA1000 (Appliance Management Console, AMC), mesma família afetada pelo CVE-2026-15409.

CVSS	Score: 7,2 · Severidade: Alto.

CISA KEV

SIM Adicionado ao catálogo CISA KEV em 14/07/2026, junto com CVE-2026-15409.

Exploração

Confirmada, em conjunto com o CVE-2026-15409 na mesma cadeia de ataque.

POC	Sem PoC público conhecido.

Descrição

Injeção de comando pós-autenticação na Appliance Management Console, que permite a um atacante com acesso administrativo executar comandos arbitrários do sistema operacional subjacente.

Impacto

Utilizada em conjunto com o CVE-2026-15409 para obter execução de comando após acesso inicial via SSRF, resultando em comprometimento completo do appliance.

Correção

Corrigida pela mesma versão que endereça o CVE-2026-15409. Aplicar em conjunto e seguir o mesmo procedimento de verificação forense.

Prazo Imediato (0 a 72h): mesma janela de remediação do CVE-2026-15409, aplicar em conjunto.

CVE-2026-8451

Citrix NetScaler ADC/Gateway (SAML IDP): Leitura Fora dos Limites ("CitrixBleed"-like)

Score CVSS: 8.8 : Alto

Produto

Citrix NetScaler ADC e NetScaler Gateway configurados como SAML Identity Provider (IDP). Versão corrigida conforme advisory CTX696604; não confirmamos o número de build específico nesta pesquisa.

CVSS	Score: 8,8 · Severidade: Alto.

CISA KEV

NÃO Não incluído no catálogo CISA KEV até o fechamento desta edição, apesar de exploração confirmada. Padrão observado em episódios anteriores da família "CitrixBleed" é que a inclusão no KEV tende a ocorrer dias a semanas após o início da exploração.

Exploração

Confirmada por telemetria de terceiros (Lupovis): payload de exploração completo capturado em sensores de honeypot em menos de 24 horas após a publicação do advisory CTX696604 (30/06/2026), com atividade de scanning coordenada.

POC	A watchTowr publicou detalhes técnicos sobre a falha; não confirmamos publicação de exploit completo como PoC público.

Descrição

Falha no parser XML do NetScaler, que não finalizava corretamente valores de atributos XML não citados quando seguidos por um caractere de nova linha, resultando em leitura de memória fora dos limites em appliances configurados como SAML IDP.

Impacto

Vazamento de memória do processo, com potencial exposição de tokens de sessão e credenciais, na mesma classe de risco de episódios anteriores de "CitrixBleed".

Correção

Aplicar a versão corrigida conforme advisory CTX696604. Onde não for possível, avaliar desativar a configuração de NetScaler como SAML IDP temporariamente.

Prazo Imediato (0 a 72h): exploração confirmada apesar de ausência no CISA KEV; não aguardar inclusão formal no catálogo para agir.

CVE-2026-47865

VMware Avi Load Balancer (Control Plane): Bypass de Autenticação

Score CVSS: 9.8 : Crítico

Produto

VMware Avi Load Balancer (by Broadcom), versões 22.1.x a 32.1.x. Correção: 22.1.1–22.1.7 e 30.2.1–30.2.6 → 30.2.7; 31.1.1–31.2.2 → 31.2.2-2p3; 32.1.1 → 32.1.2.

CVSS	Score: 9,8 (máximo CVSSv3) · Severidade: Crítico.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

Sem exploração confirmada até o fechamento desta edição, segundo o fabricante.

POC	Sem PoC público conhecido.

Descrição

Bypass de autenticação que permite a um atacante não autenticado com acesso de rede violar o Avi Control Plane. Falha descoberta por pesquisador do hub de tecnologia e cibersegurança da OTAN.

Impacto

Comprometimento do Control Plane do balanceador de carga. Não há workaround disponível, apenas o patch.

Correção

Aplicar a versão corrigida correspondente à branch em uso. Sem mitigação alternativa disponível.

Prazo Curto prazo (até 7 dias): sem exploração confirmada, mas CVSS crítico, vetor não autenticado e ausência de workaround recomendam priorização alta.

CVE-2026-0288

Palo Alto PAN-OS (User-ID Terminal Server Agent): Estouro de Buffer

Score CVSS-B: 9.2 : Crítico

Produto

PAN-OS 12.1, 11.2, 11.1 e 10.2, com User-ID Terminal Server Agent (TSA) habilitado.

CVSS	CVSS-B (base): 9,2 · CVSS-BT (temporal, considera maturidade do exploit): 7,2 · Severidade do fabricante: urgência máxima ("HIGHEST"). Divergência: base score reflete o pior cenário técnico; score temporal reflete ausência de exploit conhecido até o momento.

CISA KEV

NÃO Não presente no catálogo CISA KEV até o fechamento desta edição.

Exploração

A Palo Alto Networks declara não ter conhecimento de exploração maliciosa até o fechamento desta edição, mas alerta que a janela até a primeira exploração tende a ser curta em falhas dessa severidade.

POC	Sem PoC público conhecido.

Descrição

Estouro de buffer no User-ID Terminal Server Agent (TSA). Um atacante com acesso de rede ao IP e porta do TSA, sem autenticação ou interação do usuário, pode corromper memória, potencialmente alcançando execução remota de código ou provocando negação de serviço.

Impacto

Potencial RCE ou DoS em firewalls PAN-OS.

Correção

Aplicar o bulletin de segurança publicado em 08/07/2026. Mitigação imediata: restringir a conectividade ao TSA a endereços IP internos confiáveis, conforme orientação do fabricante.

Prazo Curto prazo (até 7 dias): urgência máxima declarada pelo fabricante, sem exploração confirmada; aplicar mitigação de rede imediatamente enquanto o patch é agendado.

Fontes Consultadas

Check Point

Check Point: Security Advisory CVE-2026-16232 (fonte oficial) Check Point sk185169: mitigação e versões corrigidas Rapid7: CVE-2026-16232 Exploited in the Wild CISA KEV Catalog: CVE-2026-16232 (fonte oficial)

Microsoft SharePoint

Microsoft MSRC: CVE-2026-58644 (fonte oficial) Rapid7: CVE-2026-58644 Exploited in the Wild CISA: SharePoint Hardening Guidance (fonte oficial)

Adobe ColdFusion

Akamai: CVE-2026-48282 Mitigation Resecurity: CVE-2026-48282 Technical Analysis CISA: KEV Addition CVE-2026-48282 (fonte oficial)

SonicWall SMA1000

Tenable: CVE-2026-15409 / CVE-2026-15410 Exploited Rapid7: SonicWall SMA1000 Zero Days Actively Exploited CISA: KEV Addition CVE-2026-15409/15410 (fonte oficial)

Citrix NetScaler

CyberScoop: Citrix NetScaler CVE-2026-8451 SecurityWeek: New CitrixBleed Vulnerability Exploited

VMware Avi Load Balancer