CISA lista Plex2Shell e falha da Siemens como exploradas

A CISA, agência de cibersegurança dos Estados Unidos, incluiu seis vulnerabilidades em seu catálogo de falhas sob exploração ativa (KEV) na terça-feira (20), segundo o alerta publicado pela agência. Quatro delas formam a cadeia batizada de Plex2Shell, no Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. As outras duas são a CVE-2026-110936, no Siemens Software Center, e a CVE-2026-106931, no SiteGuard Server Edition, da japonesa EG Secure Solutions.

A inclusão no KEV obriga as agências civis do governo federal americano a corrigir os sistemas dentro de prazos fixados pela própria CISA, sob a diretiva BOD 22-01. Para o setor privado, a lista funciona como fila de prioridade: a CISA só registra falhas com evidência de exploração real, não apenas teórica.

Plex2Shell: do servidor doméstico à rede corporativa

O Plex é um servidor de mídia que milhões de pessoas instalam em casa, em NAS ou em máquinas Linux, para organizar filmes e séries. A Plex2Shell encadeia quatro falhas que, isoladas, não dariam controle do servidor. Combinadas na ordem certa, levam de uma requisição sem autenticação até a execução de um binário escolhido pelo atacante no servidor. A cadeia começa roubando o token de administrador do dono do servidor.

O intervalo entre publicação e ataque foi de um dia. O código de prova de conceito ficou público em 16 de outubro, e o primeiro ataque registrado em honeypot ocorreu em 17 de outubro, segundo o pesquisador que opera a armadilha. As cargas instaladas incluíam o minerador de criptomoeda XMRig e uma ferramenta de proxy que transforma o servidor comprometido em ponto de saída de tráfego alheio, usando a conexão residencial da vítima.

A correção existe desde agosto. As quatro falhas afetam versões do Plex Media Server anteriores à 1.43.3.10861, liberada em 3 de agosto de 2026, e a Plex publicou orientação pedindo que usuários atualizem. O problema é a base instalada que não se atualiza sozinha, típica de equipamentos domésticos.

Para o CISO, o problema é de vizinhança: o servidor Plex costuma morar na mesma rede doméstica do notebook corporativo do funcionário em trabalho remoto. Um servidor tomado vira ponto de apoio dentro dessa rede e, via proxy, faz o tráfego do atacante sair por um IP residencial legítimo, o que dificulta o bloqueio por reputação. Ferramentas de acesso condicional que confiam em IPs domésticos conhecidos de um colaborador passam a ver tráfego hostil saindo do mesmo endereço.

Siemens e o abuso de software assinado

A falha da Siemens tem outro perfil. A CVE-2026-110936 é uma vulnerabilidade de carregamento de DLL no Siemens Software Center, ferramenta que distribui e atualiza softwares da empresa em estações de engenharia. Um atacante que consiga colocar uma DLL maliciosa em um diretório que o programa consulta executa código com os privilégios do aplicativo. A Siemens ProductCERT confirmou a exploração ativa em aviso de 19 de outubro.

O vetor é conhecido e eficaz: usar um executável legítimo, com assinatura digital válida, para carregar código malicioso. Soluções de segurança que confiam em binários assinados tendem a deixar passar a execução.

O SiteGuard, terceiro produto da lista, é um firewall de aplicação web de fabricante japonês. A EG Secure Solutions confirmou a exploração em aviso de 14 de outubro.

Onde o risco cai

Nos Estados Unidos, o efeito é direto: agências federais têm prazo para corrigir, e fornecedores de governo costumam seguir o mesmo calendário por exigência contratual. Na Alemanha, onde a base instalada de software de engenharia da Siemens é mais densa, o alerta atinge fábricas e escritórios de projeto que mantêm estações Windows com permissões amplas para ferramentas industriais. No Japão, a falha no SiteGuard expõe sites corporativos e de governo que adotaram o produto justamente como camada de proteção.

No Brasil, o ponto de contato é a cadeia industrial: montadoras, siderúrgicas e empresas de energia usam software Siemens em plantas e centros de engenharia, muitas vezes geridos por integradoras terceirizadas. O risco do Plex2Shell é transversal a todos esses países, porque depende de política de trabalho remoto, não de setor.

A lista de terça-feira mostra um padrão que os times de segurança já conhecem, mas raramente orçam: duas das três frentes exploradas vêm de software que o departamento de TI não comprou nem gerencia. Um é instalado por funcionários em casa; o outro é uma ferramenta de distribuição do próprio fabricante, tratada como confiável por definição. Nenhum dos dois aparece no inventário de ativos que alimenta o plano de correção.