CISA lista falha do OpenSSH como explorada e dá prazo até dia 12

A agência americana de cibersegurança, a CISA, incluiu na segunda-feira (9) quatro vulnerabilidades no catálogo Known Exploited Vulnerabilities (KEV), lista reservada a falhas com evidência de exploração ativa. Entre elas está a CVE-2026-123158, no OpenSSH, o servidor de acesso remoto mais usado em Linux. O prazo de correção para órgãos federais é 12 de novembro, três dias depois da inclusão. Para a falha da SonicWall incluída em 6 de novembro, o prazo dado havia sido de duas semanas.

As outras três entradas atingem o GPUStack, plataforma de código aberto para gerenciar clusters de GPU e servir modelos de IA (CVE-2026-102895), o FreeSWITCH, da SignalWire, usado como base de centrais telefônicas e plataformas de voz (CVE-2026-116779), e o IBM Aspera Faspex, sistema de transferência de arquivos grandes (CVE-2026-123218). As quatro receberam a marcação de triagem forense obrigatória, o que significa que a CISA pede não apenas a correção, mas a verificação de sinais de comprometimento anterior.

O caso do OpenSSH

A falha do OpenSSH, apelidada de "*sshole" pelos pesquisadores, afeta o sshd anterior à versão 10.6p2 em sistemas Linux que usam a biblioteca musl sem PAM, configuração padrão do Alpine Linux. Segundo a descrição da CISA, o erro está no tratamento de um código de retorno inesperado e permite contornar a autenticação. Na prática, de acordo com o aviso do Alpine e a cobertura especializada, contas bloqueadas com um asterisco no campo de senha podem ser acessadas com uma senha superdimensionada.

O OpenSSH 10.6p2 foi publicado em 5 de novembro. A correção passa a rejeitar hashes armazenados curtos demais para serem válidos. O Alpine distribuiu pacotes corrigidos em todos os ramos suportados, e a recomendação provisória, para quem não puder atualizar de imediato, é desligar o login por senha com PasswordAuthentication no. Distribuições baseadas em glibc, como Red Hat, Ubuntu e Debian, não são afetadas, segundo os avisos publicados.

O risco para empresas está menos no servidor físico e mais no contêiner. O Alpine é uma das imagens-base mais populares em Docker justamente por ser enxuta, e equipes que embutem sshd em imagens para depuração ou acesso de fornecedores podem ter herdado a configuração vulnerável sem saber. OpenWrt, Buildroot e Yocto, usados em roteadores e dispositivos embarcados, também aparecem nas listas de sistemas expostos.

GPU como superfície de ataque

A entrada do GPUStack é a que mais conversa com a agenda de IA corporativa. A descrição da CISA fala em acesso administrativo sem autenticação, com possibilidade de alterar usuários e modelos, criar chaves de API de administrador persistentes, expor segredos de workers e de provedores de nuvem e executar código por meio do endpoint POST /v2/inference-backends/from-yaml. A versão 2.2.0 corrige o problema, segundo o registro da CVE e a cobertura especializada.

Um painel de orquestração de inferência exposto entrega ao atacante as credenciais de nuvem que pagam as GPUs. Times de dados costumam subir esse tipo de ferramenta fora do inventário formal de TI, o que torna a resposta mais lenta justamente onde o custo de um abuso, em horas de GPU faturadas, é mais alto.

No FreeSWITCH, a CISA aponta injeção de código com vazamento de configuração e credenciais, controle arbitrário de chamadas e execução de comandos. A correção está na versão 1.11.3, segundo o aviso da SignalWire. Operadoras e provedores de contact center em nuvem que usam o software como motor de voz precisam tratar a atualização como emergencial. No Aspera Faspex, a falha permite que um usuário autenticado escale privilégios com uma mensagem forjada; a IBM publicou boletim próprio.

Da agência americana para outros mercados

O prazo de 12 de novembro vale formalmente para o governo federal americano, mas o KEV virou referência de priorização para equipes de segurança em outros países. Na União Europeia, onde a NIS2 exige gestão de vulnerabilidades documentada de operadores essenciais, uma inclusão no catálogo é argumento pronto para justificar janela de manutenção fora do calendário. No Brasil, a Resolução CMN 4.893, que impõe política de segurança cibernética a instituições financeiras, e o regulamento da Anatel para operadoras (Resolução 740/2020) também exigem gestão de vulnerabilidades, e o KEV oferece a régua externa que auditores costumam pedir.

A combinação desta semana tem um denominador comum: três dos quatro produtos são componentes de código aberto embutidos em outros produtos, como a própria CISA anota nos registros do OpenSSH, do GPUStack e do FreeSWITCH. Isso desloca o trabalho do time de patch para o de inventário. A pergunta que o CISO precisa responder até quinta-feira não é se a empresa usa OpenSSH, mas em quantas imagens Alpine, appliances de fornecedores e clusters de GPU montados por áreas de negócio ele está rodando sem que ninguém tenha registrado.