CISA alerta para falhas críticas exploradas em macOS, ShareP

O que aconteceu?

Em 18 de agosto de 2026, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, adicionou quatro vulnerabilidades ao catálogo Known Exploited Vulnerabilities — KEV após confirmar evidências de exploração ativa.

As falhas são:

CVE-2026-65400 — Apple macOS Screen Sharing;
CVE-2026-55040 — Microsoft SharePoint;
CVE-2026-59310 — VMware vCenter;
CVE-2026-33824 — Microsoft Internet Key Exchange, ou IKE.

Todas possuem pontuação CVSS superior a 9, colocando-as entre vulnerabilidades de severidade crítica.

O ponto mais importante é que não se trata apenas de vulnerabilidades teoricamente exploráveis. Existem evidências de uso em ataques reais.

Falha no macOS permite acesso sem credenciais

A CVE-2026-65400 afeta o recurso Screen Sharing do macOS.

A Apple descreve o problema como uma falha de autenticação que pode permitir que um atacante presente na rede consiga autenticar no serviço de compartilhamento de tela sem possuir credenciais válidas. A correção foi incluída inicialmente no macOS Tahoe 26.6.1, lançado em 6 de agosto de 2026.

Ataques já instalaram minerador Monero

O NCSC dos Países Baixos recebeu relatos de exploração em sistemas onde a porta:

5900/TCP

estava exposta à internet.

Nos casos relatados, os atacantes conseguiram acesso como root e instalaram um minerador de criptomoeda Monero. A Microsoft também observou exploração em um número limitado de Macs, com implantação do XMRig 6.26.0, instalação de chaves SSH para persistência e alteração de configurações de rede.

O que usuários devem fazer?

A recomendação é atualizar para pelo menos:

macOS Tahoe 26.6.1;
macOS Sequoia 15.7.9;
macOS Sonoma 14.8.9.

Também é recomendável desativar o Screen Sharing quando ele não for necessário e bloquear acesso não confiável à porta TCP 5900.

SharePoint pode ter autenticação contornada

A segunda vulnerabilidade é a:

CVE-2026-55040

Ela afeta versões locais do Microsoft SharePoint Server e recebeu pontuação CVSS 9.1.

A falha está relacionada ao processo de validação de tokens JWT utilizados pelo SharePoint.

Em termos simples

Um servidor deveria confirmar criptograficamente que um token utilizado para autenticação é realmente legítimo.

A vulnerabilidade contém uma combinação de problemas nessa validação que pode permitir que um invasor remoto e não autenticado crie um token capaz de se passar por um usuário do SharePoint.

Segundo a Rapid7, o atacante pode potencialmente assumir a identidade de qualquer usuário conhecido do site, inclusive um administrador, desde que consiga identificar previamente esse usuário.

Exploração aumentou após publicação de PoC

A Rapid7 publicou uma análise técnica e um código de prova de conceito em agosto. Pouco depois, pesquisadores passaram a observar tentativas de exploração utilizando a técnica.

O The Hacker News informou que as tentativas observadas tiveram origem em endereços de diferentes regiões, incluindo Hong Kong, Japão, Holanda, Taiwan e Estados Unidos. A autoria e os objetivos finais desses ataques não estavam confirmados naquele momento.

VMware vCenter já foi usado para implantar ransomware

CVE-2026-59310

é uma vulnerabilidade crítica de path traversal no VMware vCenter, com pontuação CVSS 9.8.

A Broadcom lançou uma correção em 29 de julho de 2026.

Uma exploração bem-sucedida pode permitir execução arbitrária de código no vCenter.

Ataque pode entregar acesso root

A empresa alemã de resposta a incidentes QUIRSO investigou ataques que começaram poucos dias após a divulgação pública da vulnerabilidade.

Segundo os pesquisadores, a exploração permitia que comandos fossem executados diretamente com privilégios root no vCenter Server Appliance.

Os atacantes implantaram componentes como:

backdoors;
reverse SSH;
web shells;
novos usuários administrativos;
mecanismos de persistência via cron e systemd.

Ransomware derivado do Babuk

Em pelo menos um ambiente investigado, o comprometimento evoluiu para os hosts ESXi.

Os invasores criaram usuários locais e implantaram ransomware que criptografava arquivos utilizando a extensão:

.babyk

com características associadas à família Babuk.

A QUIRSO ressalta que não conseguiu determinar se o ransomware era o objetivo principal da campanha ou se foi utilizado de forma oportunista.

Mais de 360 endereços comprometidos

A campanha foi associada a aproximadamente 361 endereços IP de vítimas em 47 países.

As maiores concentrações observadas foram:

Alemanha: 55;
Estados Unidos: 41;
Turquia: 38;
Irã: 26;
França: 25.

A QUIRSO avalia com confiança moderada que o ator responsável possui vínculo com o ecossistema de ameaças de língua chinesa, com base em idioma, ferramentas, horários operacionais e outros elementos. Essa avaliação não representa uma atribuição definitiva a um grupo ou governo específico.

Falha no Microsoft IKE permite execução remota de código

A quarta vulnerabilidade é:

CVE-2026-33824

Ela afeta extensões do serviço Microsoft Internet Key Exchange — IKE, componente utilizado em determinados cenários de VPN IPsec.

A falha possui pontuação CVSS 9.8 e é classificada como um problema de double free, uma categoria de corrupção de memória.

Em determinadas condições, um atacante remoto e não autenticado pode utilizar a vulnerabilidade para executar código pela rede.

Ator também utilizou IA em parte da operação

A Unit 42, da Palo Alto Networks, documentou um ator de língua chinesa que explorou diversas vulnerabilidades durante uma campanha.

Entre elas estava justamente a CVE-2026-33824, utilizada em tentativas de estabelecer reverse shells contra três endpoints IKE VPN.

O mesmo ator também utilizou o modelo DeepSeek em partes de uma campanha automatizada para pesquisa e tentativa de exploração de outros alvos.

Existe uma distinção importante: segundo a Unit 42, a exploração da CVE do IKE foi realizada como parte das operações manuais do atacante, enquanto outras etapas da campanha utilizaram automação com IA.

Portanto, não é correto afirmar que a própria IA tenha explorado automaticamente a vulnerabilidade do Microsoft IKE.

Como se proteger?

As quatro vulnerabilidades já possuem correções disponibilizadas pelos respectivos fabricantes.

Organizações que utilizam qualquer um desses produtos devem tratar a atualização como prioritária, principalmente sistemas acessíveis externamente.

macOS

aplicar as atualizações mais recentes;
desativar Screen Sharing quando não utilizado;
impedir exposição direta da porta TCP 5900;
revisar chaves SSH e LaunchDaemons suspeitos.

Microsoft SharePoint

instalar as atualizações de segurança da Microsoft;
identificar servidores SharePoint expostos à internet;
revisar autenticações e alterações administrativas suspeitas;
verificar acessos ocorridos antes da aplicação da correção.

VMware vCenter

aplicar imediatamente os patches disponibilizados pela Broadcom;
evitar exposição direta da interface do vCenter à internet;
revisar criação recente de contas administrativas;
procurar novos cron jobs, serviços systemd, chaves SSH e web shells;
revisar hosts ESXi controlados pelo vCenter comprometido.

Microsoft IKE

instalar as atualizações de segurança da Microsoft;
revisar servidores VPN expostos;
analisar tentativas suspeitas de conexões IKE;
procurar atividade pós-exploração e reverse shells em sistemas vulneráveis.

Análise Técnica CyberX

Estar no catálogo KEV muda a prioridade

Uma vulnerabilidade crítica não deve ser priorizada apenas pelo número do CVSS.

O fato de uma falha entrar no CISA KEV significa que já existem evidências de exploração no mundo real.

Do ponto de vista de gestão de vulnerabilidades, isso coloca essas correções acima de muitas outras CVEs que podem possuir pontuação semelhante, mas ainda não possuem atividade de exploração conhecida.

vCenter merece atenção especial

Entre as quatro vulnerabilidades, o cenário envolvendo VMware é particularmente preocupante para ambientes empresariais.

O vCenter normalmente possui controle sobre uma grande quantidade de hosts e máquinas virtuais.

Se o invasor assumir o controle desse componente, ele pode transformar o comprometimento de um servidor de gerenciamento em acesso a uma parcela significativa da infraestrutura virtual.

A investigação da QUIRSO mostrou exatamente essa progressão:

vCenter → root → persistência → credenciais → ESXi → ransomware.

Esse é um exemplo clássico de como o impacto de uma vulnerabilidade depende não apenas da CVE, mas também da importância do ativo afetado.

SharePoint mostra a velocidade entre PoC e exploração

Outro ponto relevante é a CVE-2026-55040.

Depois da divulgação de detalhes técnicos e de um PoC público, tentativas de exploração começaram a ser observadas rapidamente.

Para equipes de segurança, isso reforça que o período entre:

divulgação → PoC público → exploração real

pode ser extremamente curto.

Ambientes expostos à internet não podem depender de ciclos de atualização mensais rígidos quando uma vulnerabilidade crítica já possui código público funcional.

Serviços de administração não devem estar expostos diretamente

Existe um padrão importante entre essas vulnerabilidades.

Screen Sharing, SharePoint, vCenter e IKE são componentes que podem possuir interfaces acessíveis pela rede.

Quando serviços administrativos ou de infraestrutura ficam diretamente expostos, um erro de autenticação ou execução remota pode permitir acesso inicial sem qualquer interação do usuário.

A CyberX recomenda manter interfaces administrativas atrás de:

VPN;
firewall;
ACL;
jump server;
rede de gerenciamento dedicada.

Corrigir não significa necessariamente encerrar o incidente

Quando uma vulnerabilidade já está sendo explorada ativamente, instalar o patch impede novas explorações da mesma falha.

Porém, o patch não remove automaticamente um invasor que já tenha obtido acesso antes da atualização.

Esse é um ponto especialmente importante nos casos analisados, pois foram observados:

chaves SSH persistentes em macOS;
novos usuários administrativos em vCenter;
web shells;
serviços systemd;
tarefas cron;
reverse SSH.

Organizações que possuíam sistemas vulneráveis e expostos devem considerar também uma investigação de comprometimento.

Recomendação CyberX

A CyberX recomenda priorizar imediatamente sistemas afetados por essas quatro CVEs.

A ordem de análise deve considerar:

equipamento exposto à internet;
presença da versão vulnerável;
período durante o qual permaneceu sem patch;
evidências de autenticação ou execução incomum;
presença de mecanismos de persistência.

Para vCenter e SharePoint expostos, uma simples confirmação de atualização não deve encerrar a análise. É importante revisar logs anteriores ao patch para identificar se o acesso já ocorreu.

Conclusão

A inclusão dessas quatro vulnerabilidades no catálogo KEV confirma que atacantes já estão transformando falhas recém-divulgadas em operações reais.

Os ataques observados incluem desde mineração de Monero em Macs até controle de vCenter, persistência em servidores, comprometimento de ESXi e ransomware derivado do Babuk.

O alerta principal para empresas é simples:

quando uma vulnerabilidade crítica já possui exploração ativa confirmada, a discussão deixa de ser apenas sobre atualização e passa também a ser sobre investigação de possível comprometimento.

Fontes e referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 19 de agosto de 2026 e validada com informações da Apple, Rapid7, Broadcom/VMware, Unit 42 e dados citados pela CISA sobre exploração ativa.

CyberX I.T Solutions — Cybersecurity Intelligence

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

CISA alerta para falhas críticas exploradas em macOS, SharePoint, vCenter e Windows