CISA identifica exploração ativa de três vulnerabilidades graves

A CISA lançou um alerta para a exploração ativa de vulnerabilidades graves nos produtos Broadcom, Commvault e Qualitia. As vulnerabilidades foram corrigidas, mas continuam a ser alvo de ataques, levando a agência a recomendar uma intervenção imediata por parte das organizações afetadas.

A vulnerabilidade mais grave, com uma pontuação CVSS de 9,8, afeta o Active! Mail 6 da Qualitia e está registada como CVE-2025-42599. Trata-se de um problema de overflow de buffer baseado em pilha que pode ser explorado por atacantes remotos e não autenticados, permitindo a execução remota de código ou ataques de negação de serviço (DoS). A correção foi disponibilizada a 16 de abril, em coordenação com o JPCERT/CC.

Também a Broadcom alertou para exploração ativa da falha CVE-2025-1976 (CVSS 8,6), que afeta o Brocade Fabric OS nas versões 9.1.0 a 9.1.1d6. A falha permite que um utilizador autenticado com privilégios administrativos execute código como root. Segundo o fornecedor, um atacante pode modificar o sistema operativo para introduzir rotinas maliciosas. A correção foi emitida a 17 de abril com a versão 9.1.1d7.

A Commvault enfrenta igualmente um problema de segurança com a falha CVE-2025-3928 (CVSS 8,7), que afeta determinadas versões 11.x do seu servidor web. A vulnerabilidade pode ser explorada por atacantes remotos autenticados para comprometer instâncias através da criação e execução de webshells. As atualizações de segurança começaram a ser disponibilizadas no final de fevereiro, com correções adicionais na semana seguinte.

Todos as três falhas foram adicionadas ao catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla a inglês) da CISA, sinalizando a sua exploração comprovada ou iminente. A agência destaca que, embora não haja indícios públicos de exploração da falha Commvault, os bugs da Broadcom e da Qualitia já foram utilizados em ataques.

Segundo a Diretiva Operacional Vinculativa 22-01, as agências federais norte-americanas têm até 17 de maio para aplicar as atualizações de segurança correspondentes. No entanto, a CISA reforça que todas as organizações, públicas ou privadas, devem agir prontamente para mitigar os riscos.