O que aconteceu
A CISA, agência de cibersegurança dos EUA, adicionou ao seu catálogo de vulnerabilidades exploradas ativamente (KEV) cinco falhas antigas, algumas de mais de dez anos. A inclusão coincide com um alerta conjunto de sete países, entre eles o Japão (com Austrália, Canadá, Nova Zelândia, Espanha, Reino Unido e EUA), sobre operações atribuídas a atores ligados à Integrity Technology Group, uma empresa de cibersegurança sediada na China, segundo a Security Affairs.
As cinco falhas
| CVE | Produto | Tipo | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | controle de acesso (comandos SITE CPFR/CPTO) permite ler/alterar arquivos | 10,0 |
| CVE-2021-3199 | ONLYOFFICE Docs | path traversal com JWT ativado, possível execução de código | 9,8 |
| CVE-2016-3081 | Apache Struts | injeção de comando via method: com Dynamic Method Invocation | 8,1 |
| CVE-2015-5477 | ISC BIND | consulta TKEY causa negação de serviço | 7,5 |
| CVE-2023-22894 | Strapi | vazamento de dados sensíveis via filtros no painel admin | 7,2 |
Segundo a Security Affairs, a atividade envolveu oito vulnerabilidades no total, incluindo essas cinco, para obter acesso inicial e roubar informações. Os atacantes também usaram ferramentas de varredura, XSS e password spraying contra servidores Microsoft Exchange, além de software de VPN para manter acesso e scripts para extrair e-mails e credenciais.
Apreensão de ferramentas
O Departamento de Justiça e o FBI apreenderam duas ferramentas atribuídas à empresa: Microscan, usada para varrer redes em busca de sistemas vulneráveis, e FishHub, que usava spear-phishing para entregar malware, dar acesso remoto e roubar arquivos. Segundo o relato, foram usadas contra infraestrutura crítica e outras organizações em vários países.
As agências federais dos EUA tinham até 11 de outubro de 2026 para corrigir as falhas.
Por que falhas de 2015 ainda importam
Porque servidores esquecidos continuam online: um FTP antigo, um DNS interno nunca atualizado, uma aplicação Struts legada. Ferramentas de varredura automatizada como a descrita acham esses sistemas em escala. A participação do Japão no alerta mostra que empresas japonesas também estão no radar.
Checklist para PMEs
- Inventário de ativos expostos: liste tudo que está acessível pela internet, inclusive servidores "temporários" antigos.
- Procure as cinco versões acima e atualize ou desligue. ProFTPD e BIND de 2015 não devem existir em produção.
- Exchange: ative MFA, bloqueie autenticação legada e monitore tentativas de password spraying.
- Treinamento contra spear-phishing.
- Acompanhe o catálogo KEV da CISA como lista de prioridades de patch, mesmo fora dos EUA.
Fontes
- Security Affairs (11/10/2026): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- Catálogo KEV da CISA: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
Quer mapear e reduzir a superfície de ataque da sua empresa? A KGA IT oferece uma consulta gratuita: kga-it.com.