ALERTA 11/2026

1. Foi publicada uma atualização de segurança para resolver uma falha crítica que afeta o Configuration Manager. Observou-se que o Microsoft Configuration Manager contém uma vulnerabilidade de injeção de SQL. Um atacante não autenticado pode explorar essa vulnerabilidade enviando requisições especialmente elaboradas ao ambiente alvo, as quais são processadas de maneira insegura, possibilitando a execução de comandos no servidor e/ou no banco de dados subjacente.

Apesar da vulnerabilidade ser de 2024, novas atualizações elevaram o seu risco e demandam uma ação imediata. A falha é descrita na Common Vulnerabilities and Exposures (CVE):

https://nvd.nist.gov/vuln/detail/CVE-2024-43468
https://www.cve.org/CVERecord?id=CVE-2024-43468

2. Conforme informações do fornecedor, as versões vulneráveis do produto incluem:

- Produto: Microsoft Configuration Manager. Versões afetadas: >= 1.0.0 até < 5.00.9106

3. O CTIR Gov recomenda que as instituições identifiquem se utilizam versões vulneráveis e apliquem imediatamente as correções fornecidas pelo desenvolvedor. Links adicionais:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43468 ; https://nvd.nist.gov/vuln/detail/CVE-2024-43468

4. Resumo sobre criticidade:

- Listada no catálogo CISA KEV: SIM
- CVSS Base Score: 9.8
- EPSS: 84,62%
- Percentile EPSS: 99,30%

 a)    O que é o Cybersecurity and Infrastructure Security Agency Know Exploited Vulnerabilities Catalog (CISA KEV)?

• Catálogo de vulnerabilidade mantida pela agência CISA. Os requisitos para uma vulnerabilidade ser listada no catálogo são: (1) A vulnerabilidade possui um ID CVE (Common Vulnerabilities and Exposures) atribuído; (2) Há evidências confiáveis de que a vulnerabilidade foi ativamente explorada em ambientes reais; (3) Existe uma ação de correção clara para a vulnerabilidade, como uma atualização fornecida pelo fabricante. Fonte: https://www.cisa.gov/known-exploited-vulnerabilities

 b)    O que é Common Vulnerability Scoring System (CVSS)?

• Metodologia aberta para comunicar as características e a gravidade de vulnerabilidades em softwares. É composto por três grupos de métricas: Base, Temporal e Ambiental. Quanto mais próximo do 10 maior a criticidade da vulnerabilidade. Fonte: https://www.first.org/cvss/v3-1/specification-document

 c)   O que é o Exploit Prediction Scoring System (EPSS)?

•  Estimativa diária global da probabilidade de que uma atividade de exploração seja observada nos próximos 30 dias. Fonte: https://www.first.org/epss/model

6. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm

7. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC): https://www.gov.br/ctir/regic

8. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST): https://www.gov.br/ctir/tlp

Equipe CTIR Gov.

[TLP:CLEAR]