SonicWall tem bypass de SAML e MFA explorado em VPN; WordPress é atacado dentro do próprio patch

SonicWall tem bypass de SAML e MFA explorado em VPN; WordPress é atacado dentro do próprio patch

O panorama das últimas 24 horas

A janela entre a sexta-feira (6) e este domingo (8) foi dominada por um tipo de falha que costuma passar batido em auditoria de perímetro: o elo entre o provedor de identidade e o dispositivo que faz a terminação do túnel. A SonicWall publicou correções para sete vulnerabilidades no SonicOS, e uma delas — a CVE-2026-19868 — permite que um atacante com credenciais válidas por um método alternativo ignore as verificações do SAML e, com isso, contorne também a autenticação multifator que o SAML impõe. A falha já estava sendo explorada e entrou no catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA no mesmo dia 6, com prazo de correção em 20 de novembro para agências federais dos Estados Unidos.

No mesmo intervalo, outro caso inverte a lógica que o mercado aprendeu a repetir. A CVE-2026-119977, uma condição de corrida do tipo TOCTOU no processo de atualização do núcleo do WordPress, é explorada ativamente — e a própria atualização que instala a correção usa o código antigo e vulnerável para descompactar os arquivos novos. Ou seja: durante alguns segundos, atualizar pode ser o momento de maior exposição do site.

O restante do ciclo trouxe um ransomware que tirou do ar os serviços digitais de 66 bibliotecas públicas em Nova York, um pacote emergencial de 10 bilhões de ienes do governo japonês e o vazamento de dados pessoais do chanceler da Itália na dark web.

SonicWall: CVE-2026-19868 e o MFA que deixa de valer

O problema está no componente SSL-VPN do SonicOS e só se manifesta em implantações que usam SAML para autenticação de acesso remoto — um desenho muito comum em ambientes corporativos e governamentais que integram o firewall a um IdP como Entra ID, Okta ou ADFS.

O vetor é sutil. O atacante não precisa quebrar o SAML: basta ter credenciais válidas em um dos outros métodos de login habilitados no appliance — contas locais, RADIUS ou LDAP, por exemplo. Com essas credenciais, o fluxo consegue atravessar o processo de autenticação sem que a asserção SAML seja efetivamente validada. Como muitas organizações delegam o segundo fator justamente à política do IdP, a consequência prática é o MFA deixar de existir para aquele acesso. A pontuação CVSS é 7,1, mas o impacto real depende de como o ambiente está configurado: quem mantém contas locais ativas e expostas no mesmo portal de VPN entrega ao atacante o caminho mais curto.

Versões afetadas e correções

SonicOS Gen7: versões 7.3.3-7015 e anteriores — corrigido em 7.3.4-7013 e superiores.

SonicOS Gen8: versões 8.2.2-8015 e anteriores — corrigido em 8.2.3-8015 e superiores.

A SonicWall não publicou workaround. A mitigação é a atualização do firmware. As outras seis falhas do pacote incluem elevação de privilégio e negação de serviço, com severidade menor, mas o mesmo ciclo de manutenção.

O que fazer além de atualizar

Revisar quais métodos de autenticação estão habilitados no portal SSL-VPN e desativar contas locais que não sejam estritamente necessárias.

Procurar nos logs de acesso sessões que começaram sem passagem pelo IdP, especialmente de IPs fora do padrão geográfico da organização.

Rotacionar credenciais de contas locais do appliance e revisar contas de serviço com acesso administrativo.

Verificar se há regras de firewall expondo a interface de gerenciamento à internet — o componente de VPN deve ser o único serviço publicado.

Aplicar a mesma varredura nos appliances SMA1000, que já tiveram tentativas de exploração em outubro contra a CVE-2026-102255, de severidade máxima e sem autenticação prévia.

WordPress: a correção que abre a porta uma última vez

A CVE-2026-119977 é uma condição de corrida entre o momento em que o WordPress verifica o status de uma atualização e o momento em que efetivamente executa o conteúdo descompactado. O intervalo permite que um atacante não autenticado troque arquivos durante o processo e obtenha execução remota de código no servidor. A falha afeta o núcleo do WordPress da versão 4.7 até a 7.1.3, foi corrigida na 7.1.4 — lançada em 28 de outubro e retroportada para todas as ramificações antigas — e foi adicionada ao KEV da CISA em 3 de novembro, com prazo federal vencido em 6 de novembro.

O detalhe que transforma o patch em armadilha veio de Umut Bayram, pesquisador da Picus Security: o mecanismo de atualização descompacta o pacote usando o próprio código antigo do site. Quem estiver atacando exatamente nessa janela ainda encontra o servidor vulnerável. Pesquisadores relatam ter documentado mais de 240 mil tentativas de exploração contra sites não corrigidos, um número coerente com a automação típica de varreduras em massa por WordPress.

Há ainda uma divergência de severidade que explica parte da demora na resposta: a Wordfence atribui CVSS 8,1, enquanto o próprio projeto WordPress classifica a falha como baixa. Na prática, a exploração depende de um site que esteja executando a atualização de núcleo por pacote completo no momento do ataque — cenário improvável de forma isolada, mas trivial quando o alvo são 240 mil tentativas automatizadas.

Sequência recomendada de mitigação

Bloquear o acesso web ao diretório wp-content/upgrade no servidor web ou no WAF antes de iniciar a atualização.

Atualizar para 7.1.4 ou para a versão corrigida da ramificação em uso, preferencialmente por WP-CLI com o acesso web restrito.

Liberar o diretório apenas depois da conclusão da atualização e conferir o conteúdo remanescente.

Procurar web shells e arquivos PHP recém-criados em wp-content/upgrade , wp-content/uploads , wp-content/mu-plugins e wp-includes .

Rotacionar as chaves de segurança ( AUTH_KEY , SALT ), revisar usuários administradores e conferir agendamentos no cron.

Tratar como comprometido o site que apresentou novos usuários, plugins ou tarefas nos dias próximos à data de correção.

Queens Public Library: ransomware em 66 unidades

Na quarta-feira (4), um ataque de ransomware cifrou sistemas da Queens Public Library, rede que atende 2,3 milhões de moradores do borough de Nova York. Ficaram fora do ar o site, o aplicativo, o Wi-Fi das unidades, as máquinas de empréstimo e devolução e os computadores de uso público — em todas as 66 bibliotecas.

As unidades físicas permaneceram abertas, com empréstimos registrados manualmente. Até sábado (7), a instituição havia restabelecido o Wi-Fi gratuito e os equipamentos de autoatendimento de circulação; site, aplicativo, computadores locais e renovações seguiam indisponíveis. Até o fechamento deste texto, nenhum grupo havia se atribuído publicamente a operação, o que mantém em aberto tanto a hipótese de exfiltração de dados de usuários quanto a de simples cifração seguida de exigência de resgate.

O caso tem uma lição específica para o setor público: bibliotecas operam bases com CPF, e-mail, histórico de empréstimo e dados de menores, quase sempre em redes planas, com estações antigas e uma superfície de identidade fraca. Segmentar a rede de serviços públicos da rede administrativa e isolar o Wi-Fi de visitantes são medidas de custo baixo com efeito direto sobre o alcance do ciframento.

Dois movimentos de política pública

O governo do Japão aprovou em 6 de novembro um pacote emergencial de 10 bilhões de ienes, cerca de 63 milhões de dólares, para ampliar a defesa digital do país depois de uma sequência de acessos não autorizados e vazamentos em empresas e órgãos públicos. O plano prevê uso de inteligência artificial para localizar vulnerabilidades em redes, equipes especializadas de resposta e apoio às organizações afetadas, além de avaliar mecanismos de bloqueio de sites. A primeira-ministra Sanae Takaichi afirmou que o país vai mobilizar todos os recursos do governo para conter os incidentes em curso.

Na Itália, o chanceler Antonio Tajani confirmou que cibercriminosos divulgaram seus dados pessoais na dark web. Ele relacionou o episódio ao apoio italiano à Ucrânia, e a primeira-ministra do país atribuiu a ação a grupos pró-Rússia. O caso se encaixa em um padrão cada vez mais comum: vazamentos de figuras públicas usados menos por valor financeiro e mais como mensagem política de capacidade operacional.

Análise de tendência: o ataque migra para o mecanismo de confiança

Três dos episódios desta janela apontam para a mesma direção. A CVE-2026-19868 não quebra criptografia nem explora memória: ela contorna a etapa em que o dispositivo decide em quem confiar. A CVE-2026-119977 não ataca o site em produção, e sim o instante em que ele se reconstrói. O ransomware da biblioteca de Queens não escolheu um alvo exposto por escolha, mas por higiene acumulada.

É exatamente esse o diagnóstico que a revista The Economist condensou na expressão "Outubro Sombrio", repercutida neste domingo: o volume de incidentes impulsionados por IA cresceu a ponto de analistas descreverem o período como um deslocamento de vantagem a favor dos atacantes. Automação de reconhecimento, geração de exploits e varredura em massa reduziram a distância entre a publicação de um CVE e a exploração em ambiente real — nos dois casos analisados aqui, para menos de uma semana.

O desdobramento prático para times de segurança é uma mudança de prioridade. Janelas de manutenção, fluxos de atualização e caminhos de autenticação federada deixaram de ser tarefa de infraestrutura e passaram a ser superfície de ataque por direito próprio. Vale medir quanto tempo o parque leva entre a publicação de um patch de núcleo e a aplicação efetiva; se a resposta for "quando abre a janela de sábado", o risco já está mapeado do outro lado.

Conclusão

As ações com prazo mais curto nesta semana são objetivas: atualizar SonicOS para 7.3.4-7013 ou 8.2.3-8015 conforme a geração do equipamento, revisar os métodos de autenticação do portal SSL-VPN e, no WordPress, bloquear wp-content/upgrade antes de aplicar a 7.1.4. Nada disso exige orçamento novo — exige sequência correta e verificação depois.

Se este levantamento ajudou o seu time, compartilhe o artigo com a equipe de segurança e com quem responde pela infraestrutura de rede. A janela entre a divulgação de uma falha explorada e o primeiro ataque bem-sucedido continua encurtando, e acompanhar o ciclo diário é parte do controle.

Fontes