RECOMENDAÇÃO 22/2026

[TLP:CLEAR]

1. O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) alerta os órgãos e entidades da Administração Pública Federal (APF) sobre uma vulnerabilidade crítica de Execução Remota de Código (Remote Code Execution — RCE) que atinge o sistema de gerenciamento de conteúdo Plone CMS e o servidor de aplicação Zope. A falha decorre da forma como o mecanismo de aquisição do Zope processa objetos e contextos, expondo indevidamente o identificador `portal_modifier` através de requisições web.

2. A exploração bem-sucedida dessa vulnerabilidade possibilita que agentes maliciosos não autenticados obtenham acesso remoto direto e controle total do servidor web hospedeiro, executando instruções arbitrárias no contexto operacional da aplicação. Com isso, invasores podem promover o comprometimento de credenciais, desfiguração de sítios eletrônicos, exfiltração de dados sensíveis e movimentação lateral no segmento de rede em que a aplicação está implantada.

3. Estão vulneráveis todas as versões em ciclo de suporte ativo da linha Plone 6 (versões 6.0, 6.1 e 6.2), bem como versões legadas descontinuadas (como Plone 4.x e Plone 5.x). Devido ao mecanismo de aquisição do Zope, o caminho vulnerável pode ser acionado em qualquer profundidade da árvore da URL (por exemplo, `https://dominio.gov.br/portal_modifier` ou `https://dominio.gov.br/caminho/pagina/portal_modifier`).

4. Diante da severidade da falha e da existência de dados públicos suficientes para a criação de rotinas automatizadas de exploração, o CTIR Gov recomenda com máxima prioridade a adoção das seguintes medidas:

a) Medida imediata de mitigação:
. Bloquear, na camada de borda, *Web Application Firewall* (WAF) ou proxy reverso, qualquer requisição HTTP/HTTPS cujo caminho contenha a expressão 'portal_modifier'. Esse recurso não é necessário para o funcionamento rotineiro do sítio.

. Bloqueio de portas de aplicação: Certificar-se de que a porta direta do backend Zope (comumente TCP 8080) não esteja exposta à rede pública da internet, respondendo exclusivamente em endereços de *loopback* (`127.0.0.1`) ou sub-redes internas e restritas.

b) Correção definitiva:

Atualização oficial: Aplicar os pacotes de correção ou atualizar as instâncias para as versões mantidas do Plone 6 que incorporam o pacote de segurança emitido pelo *Plone/Zope Security Team* com previsão de ser liberada em 10 de novembro de 2026.

Aplicações em versões descontinuadas: Para sistemas em Plone 4.x e 5.x que não recebem correções oficiais do projeto, a regra de bloqueio do `portal_modifier` na camada de proxy reverso/WAF deve ser tornada permanente e integrada à política de segurança perimetral, devendo a instituição planejar a migração estrutural da aplicação.

c) Verificação:
O CTIR Gov orienta auditar os arquivos de registro de acesso dos servidores web e proxies reversos em busca de requisições contendo termos como `portal_modifier`, variações em minúsculas/maiúsculas e variações em *URL encoding* (como `%70ortal_modifier`), a fim de identificar se tentativas de exploração pregressas foram direcionadas à infraestrutura da instituição.

Informações adicionais estão dispostas no site oficial do fabricante: https://plone.org.br/novidades/noticias/2026/pre-anuncio-de-correcao-de-seguranca-do-plone-20261110

5. Caso sejam identificados indícios de exploração bem-sucedida ou anomalias decorrentes da referida falha, a respectiva Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) institucional deve notificar imediatamente o CTIR Gov por meio do e-mail institucional `ctir@ctir.gov.br`, em consonância com a legislação e normativos vigentes do Sistema Nacional de Segurança Cibernética.

[TLP:CLEAR]