A Redbelt Security identificou, em agosto de 2026, uma sequência de vulnerabilidades críticas exploradas contra tecnologias utilizadas na administração de ambientes corporativos. O levantamento mensal da consultoria brasileira especializada em segurança da informação destaca ataques contra Microsoft SharePoint, VMware vCenter, Cisco ASA e FTD, Citrix NetScaler e SAP Commerce Cloud.
O cenário chama atenção pela velocidade entre a divulgação das vulnerabilidades, a publicação de provas de conceito e o início da exploração real. Em alguns dos casos analisados, os ataques começaram poucos dias após as falhas se tornarem públicas, reduzindo o tempo disponível para que as empresas aplicassem correções.
SharePoint é alvo de ataque encadeado
Entre os principais casos está uma cadeia de duas vulnerabilidades no Microsoft SharePoint on-premises. A primeira permite que um atacante não autenticado forje um token válido de autenticação e assuma a identidade de qualquer usuário, inclusive administradores.
Provas de conceito para essa vulnerabilidade foram publicadas pela Rapid7 no início de agosto. Uma segunda falha, localizada no Business Connectivity Services, utiliza uma técnica de deserialização insegura para transformar o acesso obtido em execução remota de código.
A VulnCheck publicou uma prova de conceito para essa segunda vulnerabilidade em 24 de agosto. No dia seguinte, começaram ataques que combinavam as duas falhas para obter controle do servidor.
A vulnerabilidade afeta as versões 2016, 2019 e Subscription Edition do SharePoint em instalações on-premises. A Microsoft já disponibilizou correções, mas organizações que não aplicaram as atualizações de julho e agosto permanecem expostas.
VMware vCenter é usado para chegar aos hosts ESXi
Outro caso identificado pela Redbelt Security envolve uma vulnerabilidade de path traversal no VMware vCenter Server, corrigida pela Broadcom em 29 de julho.
A falha foi explorada em uma campanha atribuída, com confiança moderada, a um grupo ligado à China. Pesquisadores identificaram aproximadamente 360 endereços IP comprometidos em 47 países.
Após obter execução como root no vCenter, os atacantes utilizam uma ferramenta chamada reverse_ssh para manter acesso persistente ao plano de gerenciamento. A partir desse ponto, conseguem enumerar máquinas virtuais, alcançar hosts ESXi e implantar um ransomware derivado do Babuk.
Segundo o levantamento, há relatos de que o acesso obtido pelos invasores pode permanecer mesmo depois da aplicação do patch. Por esse motivo, a rotação de credenciais é apontada como uma medida necessária juntamente com a correção da vulnerabilidade.
Citrix NetScaler registra exploração em larga escala
Os appliances Citrix NetScaler também estiveram entre os principais alvos de agosto. Uma vulnerabilidade de estouro de memória pré-autenticação no NetScaler ADC e no NetScaler Gateway pode ser acionada por meio de um pacote SAML malformado e permitir execução remota de código sem necessidade de credenciais.
A empresa de pesquisa watchTowr demonstrou publicamente a vulnerabilidade. Na sequência, atacantes passaram a instalar web shells em appliances vulneráveis para manter persistência e executar comandos.
Levantamentos independentes apontam mais de 22 mil instâncias do NetScaler ADC expostas diretamente à internet. A Citrix também possui uma segunda vulnerabilidade relacionada a bypass de autenticação, considerada por consultorias de inteligência de ameaças como de exploração iminente, diante do interesse já demonstrado contra a mesma linha de produtos.
Cisco concentra riscos em firewalls e gestão
Nos firewalls Cisco ASA e FTD, uma falha de tratamento de memória permite que um atacante remoto e não autenticado envie uma requisição HTTP manipulada ao serviço de VPN SSL e provoque a reinicialização do equipamento.
A Cisco recomendou a aplicação do patch até 14 de agosto.
Outro problema envolve o Secure Firewall Management Center, plataforma utilizada para centralizar a administração de firewalls Cisco em ambientes corporativos. Uma credencial estática incorporada à interface web permitia login remoto com uma conta de baixo privilégio.
A companhia classificou o impacto como alto porque a credencial pode ser utilizada em uma cadeia de exploração para escalar privilégios e realizar o mapeamento da rede antes de uma ofensiva mais ampla.
SAP Commerce Cloud é explorado em menos de 72 horas
O levantamento também aponta uma vulnerabilidade crítica de execução remota de código no SAP Commerce Cloud. A exploração começou em menos de três dias após a divulgação pública da falha.
A SAP confirmou o uso da vulnerabilidade em uma campanha de ransomware derivada do Babuk, o mesmo grupo associado ao ataque contra o VMware vCenter citado no levantamento.
A recomendação é aplicar as notas de segurança com urgência e restringir a exposição da aplicação à internet. As instâncias acessíveis publicamente estão entre os principais alvos dos ataques.
Para Wagner Farias, Head de engenharia de ameaças da Redbelt Security, os incidentes registrados em agosto reforçam a necessidade de acelerar a resposta às vulnerabilidades críticas.
“Agosto mostrou que atacantes já não perdem mais tempo com o usuário final quando dá para ir direto no console que administra tudo. SharePoint, vCenter, NetScaler: em cada um desses casos, uma única falha entregou controle sobre um ambiente inteiro, e em mais de um caso o ataque começou antes de a empresa terminar de ler o boletim de segurança do fornecedor. Esse cenário mostra que a gestão de patches precisa acompanhar a velocidade das ameaças, e não seguir apenas ciclos mensais”, afirma Wagner Farias, Head de engenharia de ameaças da Redbelt Security.
