Quatro CVEs no catálogo CISA: o que o CEO precisa entender agora

Recebi o alerta da CISA no início da manhã de hoje. Quatro novas entradas no catálogo KEV, o Known Exploited Vulnerabilities Catalog (catálogo de vulnerabilidades conhecidas e ativamente exploradas). Não é a primeira vez que acordo com esse tipo de notificação. Mas desta vez me chamou a atenção a combinação de produtos atingidos: um servidor de gerenciamento de displays da Samsung, duas falhas na ferramenta de suporte remoto SimpleHelp e uma injeção de comando em roteadores D-Link. Produtos que eu vejo no interior de redes corporativas brasileiras toda semana.

A CISA, a agência americana de segurança cibernética e infraestrutura, mantém esse catálogo como uma lista viva de CVEs (Common Vulnerabilities and Exposures, ou seja, vulnerabilidades e exposições comuns catalogadas com identificador público) que representam risco real e imediato. Não são hipóteses acadêmicas. São falhas com exploração confirmada em campo.

O meu ângulo aqui não é técnico no sentido de “vá corrigir o código”. O meu ângulo é estratégico: você, como líder de negócio ou de TI, precisa saber o que decisão tomar hoje, e por que ignorar isso tem custo mensurável.

Vou direto ao ponto.

O que são essas quatro vulnerabilidades e por que aparecem juntas

As quatro entradas do dia 24 de abril de 2026 são:

• CVE-2024-7399: falha de path traversal (travessia de diretório, quando o atacante navega por arquivos fora do escopo permitido) no Samsung MagicINFO 9 Server, sistema usado para gerenciar redes de telas digitais corporativas.
• CVE-2024-57726: ausência de autorização no SimpleHelp, ferramenta popular de acesso e suporte remoto.
• CVE-2024-57728: outra falha de path traversal no mesmo SimpleHelp, desta vez permitindo acesso a arquivos do servidor.
• CVE-2025-29635: injeção de comando (command injection, quando o atacante executa comandos arbitrários no sistema operacional através de entrada mal validada) no roteador D-Link DIR-823X.

O que une esses quatro itens não é o fabricante. É o padrão de ataque: todos permitem que um agente malicioso acesse recursos que não deveria acessar, sem autenticação adequada ou com bypass de controles existentes. Três deles estão em softwares de gestão ou acesso remoto, que por natureza operam com privilégios elevados dentro da rede.

Ferramenta de suporte remoto com vulnerabilidade ativa não é um problema de TI. É uma porta aberta na lateral do seu escritório.

O D-Link DIR-823X merece atenção especial para o contexto brasileiro. Roteadores da linha DIR são amplamente usados em pequenas e médias empresas e em filiais de grandes corporações. A injeção de comando nesse dispositivo significa que um atacante dentro da rede, ou que consiga acesso inicial por qualquer vetor, pode escalar para controle total do equipamento de borda.

Por que o catálogo KEV importa mais do que um boletim de segurança comum

Existem dezenas de alertas de segurança publicados toda semana. A maioria das equipes de TI não consegue acompanhar nem uma fração disso. Então por que o KEV é diferente?

A CISA só adiciona uma entrada ao KEV quando há evidência de exploração ativa confirmada. Não é análise de risco teórico. Não é prova de conceito publicada em fórum. É ataque acontecendo contra alvos reais. Isso muda completamente o cálculo de prioridade.

O BOD 22-01 (Binding Operational Directive 22-01, diretiva vinculante que obriga agências federais americanas a corrigirem vulnerabilidades do catálogo dentro de prazos definidos) foi criado exatamente para forçar disciplina de remediação. Para agências federais americanas, o prazo geralmente é de 15 a 25 dias dependendo da criticidade. Para empresas privadas brasileiras, não há obrigação legal direta, mas a lógica do prazo é sólida.

No meu time na UNODATA, quando uma vulnerabilidade entra no KEV e afeta produtos que gerenciamos para clientes, o fluxo muda imediatamente. Sai da fila normal de patches e entra em processo de emergência. Isso não é paranoia. É calibração de risco baseada em dado concreto.

O que muda na prática quando a exploração é confirmada

Quando uma falha ainda não tem exploração conhecida, você pode planejar o patch no próximo ciclo de manutenção. Quando a exploração é confirmada e está no KEV, o cenário é outro:

1. O tempo médio entre publicação no KEV e ataque bem-sucedido contra novos alvos cai drasticamente.
2. Ferramentas de ataque automatizado (exploit kits) são atualizadas para incluir a nova entrada em horas, não dias.
3. A superfície de ataque cresce porque outros atores, menos sofisticados, passam a usar os mesmos vetores.
4. Seguradoras de cyber estão cada vez mais auditando o histórico de remediação de itens KEV em processos de renovação e sinistro.

O quarto ponto eu vi acontecer com um cliente nosso no ano passado. A seguradora questionou por que uma vulnerabilidade KEV tinha ficado aberta por mais de 45 dias no ambiente deles. A discussão impactou diretamente o valor do prêmio na renovação.

O que fazer se você usa algum desses produtos

Se o Samsung MagicINFO 9 Server, o SimpleHelp ou roteadores D-Link DIR-823X estão no seu ambiente, o caminho é direto.

Primeiro, confirme a versão instalada. As falhas têm versões afetadas específicas, e antes de qualquer ação você precisa saber se o seu ambiente é vulnerável de fato.

Segundo, verifique se os fabricantes já publicaram patches. No caso das falhas do SimpleHelp (CVE-2024-57726 e CVE-2024-57728), atualizações já foram disponibilizadas. O Samsung MagicINFO também possui atualização publicada para o CVE-2024-7399. Para o D-Link DIR-823X, o status de suporte do fabricante precisa ser verificado, já que linhas mais antigas de roteadores D-Link nem sempre recebem correção.

Terceiro, se patch imediato não for viável por qualquer razão operacional, aplique mitigação de rede: isole o sistema afetado, restrinja acesso por firewall, desative funcionalidades expostas. Mitigação não substitui patch, mas reduz a janela de exposição enquanto você organiza a remediação.

Quarto, documente. Se você estiver sob algum framework de compliance, seja ISO 27001, SOC 2, LGPD ou contrato com cliente, o registro de que você identificou, avaliou e agiu sobre a vulnerabilidade tem valor jurídico e operacional.

Quinto, revise quem tem acesso ao SimpleHelp no seu ambiente. Ferramentas de acesso remoto mal gerenciadas são um dos vetores favoritos de grupos de ransomware. Não basta aplicar o patch: confirme que os usuários ativos são apenas os necessários e que a autenticação multifator está habilitada.

A conversa que o CEOs precisam ter com o time de TI ainda hoje

Eu sei que a maioria dos CEOs não vai rever logs de servidor. Não é esse o ponto. O ponto é que você precisa fazer as perguntas certas para que o time certo tome as decisões certas.

As perguntas que eu faria agora:

• Temos Samsung MagicINFO, SimpleHelp ou roteadores D-Link DIR-823X no nosso ambiente, seja diretamente ou em infraestrutura de fornecedores?
• Se sim, qual é o status de patch hoje, não semana que vem?
• Existe um processo documentado para tratamento de itens do catálogo KEV com prazo definido?
• Nossa apólice de seguro cyber cobre incidentes originados de vulnerabilidades conhecidas e não corrigidas?

Essa última pergunta costuma gerar um silêncio desconfortável. A resposta, dependendo do contrato, pode ser não. E aí o risco não está no servidor. Está no balanço.

Na UNODATA, estruturamos um ciclo de revisão semanal do KEV para os ambientes que gerenciamos. Não porque somos obrigados por lei. Porque o custo de não fazer isso é sempre maior do que o custo de fazer. Incidente de segurança não é só custo técnico. É tempo de liderança, é comunicação de crise, é risco de contrato, é eventual cobertura na imprensa especializada.

O mercado de TI brasileiro ainda trata segurança como custo de TI. Eu trato como custo de negócio. Essa diferença de enquadramento muda tudo, desde o orçamento aprovado até a velocidade de resposta quando o alerta chega de manhã cedo.

Se você chegou até aqui e não sabe ao certo se algum desses produtos está rodando no seu ambiente, essa é a primeira coisa a resolver. Não a vulnerabilidade em si, mas a falta de visibilidade sobre o que existe na sua infraestrutura. Sem inventário, não há gestão de risco possível.

Perguntas frequentes

O catálogo KEV da CISA é relevante para empresas brasileiras?

Sim. O catálogo documenta vulnerabilidades com exploração ativa confirmada globalmente, não apenas em alvos americanos. Agentes de ameaça não respeitam fronteiras, e as ferramentas de ataque automatizado usam as mesmas falhas contra qualquer alvo conectado à internet, independente do país.

O que é path traversal e por que é perigoso em servidores corporativos?

Path traversal (travessia de diretório) é uma falha que permite ao atacante acessar arquivos fora do diretório autorizado pelo sistema. Em um servidor corporativo, isso pode expor arquivos de configuração, credenciais armazenadas e dados sensíveis sem necessidade de autenticação prévia.

O SimpleHelp é usado amplamente no Brasil?

Sim. O SimpleHelp é adotado por equipes de suporte de TI e provedores de serviços gerenciados em todo o mundo, incluindo o Brasil. Sua popularidade entre times de helpdesk o torna um alvo atraente: comprometer a ferramenta de suporte remoto pode dar acesso a dezenas de ambientes de clientes de uma só vez.

Como saber se minha empresa está exposta a essas vulnerabilidades?

O primeiro passo é ter um inventário atualizado de software e hardware no ambiente. Com o inventário, você cruza os produtos listados (Samsung MagicINFO 9, SimpleHelp, D-Link DIR-823X) com as versões instaladas e verifica junto ao fabricante se a versão está na lista de afetados. Se não existe inventário, esse é o problema a resolver antes de qualquer outra coisa.