C3RB3R cifra NAS Synology com falhas de 2024, NetScaler tem zero-day 8,7 e Ivanti entra no KEV da CISA

C3RB3R cifra NAS Synology com falhas de 2024, NetScaler tem zero-day 8,7 e Ivanti entra no KEV da CISA

O dia em que a borda voltou a cobrar a fatura

O ciclo de 24 a 72 horas encerrado na manhã desta terça-feira (3) tem um padrão desconfortável: nenhum dos alvos é um sistema exótico. Um appliance de storage doméstico, um gateway de acesso remoto e um concentrador de VPN — três equipamentos que qualquer inventário corporativo deveria conhecer de cor, e que continuam sendo o caminho mais curto entre a internet pública e o dado sensível. A diferença desta janela está na natureza dos ataques: em dois dos três casos, o invasor não precisou de nada novo, apenas de um sistema que ninguém atualizou.

O quadro que se desenha é o de uma borda heterogênea, gerida por times diferentes, com ciclos de atualização distintos e, muitas vezes, sem dono claro. É exatamente aí que o ransomware encontrou escala.

Synology NAS: C3RB3R cifra dados apoiado em vulnerabilidades já corrigidas

A Synology veio a público alertar clientes sobre unidades NAS comprometidas pelo ransomware C3RB3R, que cifra arquivos e deixa a operação de armazenamento inutilizável. O aviso foi emitido depois que o 360 Security Team e o Solar Emergency Response Team relataram, em 29 de outubro, máquinas infectadas em campo.

O ponto técnico mais relevante é que o vetor não é inédito. Os atacantes estão usando vulnerabilidades que já receberam correção — parte delas associada a falhas divulgadas ainda em 2024 — para atingir equipamentos que permaneceram em versões antigas do DiskStation Manager (DSM) ou com pacotes desatualizados. Em outras palavras: não há zero-day envolvido. Há dívida de patch.

Por que isso importa mais do que parece: um NAS não é um desktop. Ele concentra backups, arquivos compartilhados, prontuários, projetos e, com frequência, credenciais de integração com outros sistemas. Quando o atacante cifra esse volume, ele atinge o principal mecanismo de recuperação da própria empresa — o backup que deveria servir de rede de segurança vira mais um refém. É a lógica clássica de dupla extorsão aplicada ao elo mais frágil da cadeia de resiliência.

Há ainda o componente de exposição. Muitas instalações foram publicadas na internet para permitir acesso remoto de equipes híbridas, com portas administrativas abertas, contas de administrador padrão ativas e sem segundo fator. Um NAS exposto e desatualizado reúne, ao mesmo tempo, a superfície de ataque e o alvo de valor.

Mitigação recomendada:

Atualizar o DSM para a versão estável mais recente e revisar a atualização de todos os pacotes instalados, especialmente os que expõem serviços de rede.

Retirar o acesso administrativo do DSM da internet ou, quando o acesso remoto for inevitável, colocá-lo atrás de VPN com autenticação forte e MFA.

Desativar a conta de administrador padrão, aplicar senhas longas e únicas por usuário e habilitar bloqueio automático por tentativas falhas.

Restringir SMB, NFS, rsync e WebDAV à rede interna, com segmentação por VLAN e regras explícitas de firewall entre estações e storage.

Verificar se os snapshots locais estão ativos e se existe cópia imutável e offline, com teste de restauração documentado.

Procurar indicadores de comprometimento: arquivos com extensões alteradas, notas de resgate, contas de usuário criadas recentemente, logins a partir de IPs desconhecidos e tarefas agendadas atípicas.

Citrix NetScaler: CVE-2026-88779 sob exploração em ataques direcionados

Na segunda-feira (2), a Citrix publicou atualizações para uma vulnerabilidade crítica no NetScaler ADC e no NetScaler Gateway, rastreada como CVE-2026-88779 e pontuada em 8,7 no CVSS. A falha é um estouro de memória que, em determinadas configurações de implantação, leva a condição de negação de serviço — e já foi observada em ataques direcionados.

O detalhe que merece atenção do time de identidade é o contexto: o problema aparece justamente em cenários que usam SAML. Gateways NetScaler frequentemente terminam autenticação federada, e um appliance que reinicia ou fica instável no meio de um fluxo de autenticação não derruba apenas uma sessão: derruba o caminho de entrada de aplicações internas inteiras. Um DoS na borda de identidade é, na prática, um apagão de acesso.

Vale distinguir dois riscos aqui. O primeiro é a indisponibilidade imediata, visível e barulhenta. O segundo é o ruído que ela gera: reinicializações inesperadas e erros de handshake tendem a ser tratados como instabilidade de infraestrutura, não como ataque, o que atrasa a detecção e permite que o adversário explore a janela de instabilidade para outras ações.

Mitigação recomendada:

Aplicar as atualizações publicadas pela Citrix para ADC e Gateway e confirmar a versão efetiva em todos os nós, inclusive os que estão fora de rotação.

Revisar perfis SAML e a configuração de IdP e SP, validando limites de tamanho de asserção, tempo de sessão e tratamento de respostas malformadas.

Monitorar reinicializações não programadas, quedas de processo e picos de erros 5xx no gateway, correlacionando com IPs de origem externa.

Restringir a interface de gerenciamento a rede administrativa e remover exposições públicas de painéis de configuração.

Manter cópia da configuração exportada e testada, para reconstrução rápida em caso de comprometimento do appliance.

Ivanti Connect Secure: a cadeia de três falhas chega ao catálogo da CISA

Este é um desdobramento do cenário de borda já registrado aqui em 2 de novembro — e o que muda agora é o peso regulatório. A CISA incluiu na segunda-feira (2) as duas novas falhas do Ivanti Connect Secure no catálogo de vulnerabilidades exploradas ativamente, com prazos obrigatórios de correção para agências federais norte-americanas.

A cadeia é composta por três peças:

CVE-2026-104935 — bypass de autenticação, corrigido pela Ivanti em 13 de outubro.

CVE-2026-111357 — escalada de privilégios, com pontuação 8,8 no CVSS.

CVE-2026-118527 — permite que um atacante autenticado envie arquivos para um dispositivo ainda não corrigido.

A exploração data de pelo menos 1º de outubro, segundo a atualização do aviso da fabricante. A investigação conduzida pela Volexity descreveu a atividade inicial de um ator até então não identificado, que usou as três falhas em conjunto para obter acesso elevado em gateways de acesso remoto — inclusive em appliances que já estavam com patch aplicado para a primeira vulnerabilidade, o que evidencia a dependência entre os elos da cadeia. Dados de exposição do Shadowserver apontam mais de 5.000 instâncias de Connect Secure acessíveis pela internet.

Mitigação recomendada:

Aplicar as versões corrigidas indicadas no aviso da Ivanti, com prioridade máxima para appliances expostos à internet.

Executar a ferramenta de verificação de integridade do próprio fabricante e, havendo sinal de comprometimento, reconstruir o appliance em vez de apenas remendar.

Rotacionar credenciais, chaves e certificados que transitaram pelo equipamento, além de tokens de sessão emitidos no período de exposição.

Caçar web shells, contas locais criadas fora do processo de provisionamento e modificações em arquivos de configuração persistentes.

Confirmar, no inventário, quais appliances estão realmente em uso — equipamentos esquecidos em filiais raramente aparecem no relatório de patch.

Análise de tendência: a distância entre o patch disponível e o patch aplicado

Os três episódios convergem para uma conclusão incômoda: o problema dominante de 2026 não é a ausência de correção, é a latência entre a correção existir e o sistema ser atualizado. Synology explora falhas de 2024. Ivanti foi explorada em cadeia mesmo onde o primeiro elo já havia sido corrigido. E o NetScaler reforça que appliance de borda é infraestrutura de identidade — logo, alvo de alto valor.

Três movimentos práticos decorrem disso. Primeiro, inventário de borda com proprietário nomeado: quem responde por aquele NAS, por aquele gateway, com qual prazo de atualização. Segundo, SLA de patch diferenciado por exposição, e não por criticidade nominal — um equipamento com painel na internet precisa de janela de horas, não de semanas. Terceiro, assumir que appliances não recebem agente de endpoint e, portanto, exigem controles compensatórios: segmentação, telemetria de rede, autenticação forte e capacidade de reconstrução rápida.

E uma consequência para a estratégia de backup: se o ransomware escolhe como alvo justamente o repositório dos backups, qualquer plano que dependa de uma única cópia acessível por credencial de domínio é um plano teórico.

Conclusão e chamada para ação

A janela desta terça-feira deixa três tarefas concretas: atualizar o DSM e os pacotes dos NAS Synology, aplicar a correção do NetScaler e revisar a configuração SAML, e tratar as falhas do Ivanti Connect Secure como prioridade de borda — com verificação de comprometimento antes de considerar o assunto encerrado.

Se este panorama ajuda o seu time a priorizar a semana, assine a newsletter para receber o giro diário de segurança antes do início do expediente e compartilhe este artigo com a equipe de infraestrutura e o time de resposta a incidentes. A pergunta que vale levar para a próxima reunião é simples: quem, na sua organização, é o dono do appliance de borda que ninguém lembrou de atualizar?

Fontes