Centro Nacional de Cibersegurança alerta para vulnerabilidade crítica

O Centro Nacional de Cibersegurança (CNCS) alertou para uma vulnerabilidade crítica identificada como CVE-2025-10573/EUVD-2025-202300 no software Ivanti Endpoint Manager (EPM), afetando a versão 2024 SU4 e anteriores.

Esta falha consiste numa vulnerabilidade de Stored XSS (Cross-Site Scripting) que, quando explorada com sucesso por um atacante remoto e não autenticado, permite a execução de código JavaScript arbitrário no contexto da sessão de um administrador. Esta execução ocorre após interação do administrador com o painel web do sistema.

O CNCS esclarece que, como consequência da exploração desta vulnerabilidade, um atacante poderá, entre outras ações, roubar informações sensíveis das sessões e realizar operações com privilégios administrativos, comprometendo a segurança do sistema.

Para resolver este problema, o Centro Nacional de Cibersegurança recomenda a atualização imediata para a versão Ivanti Endpoint Manager 2024 SU4 SR1 ou superior, que corrige a falha.

Nos casos em que a atualização imediata não seja possível, o CNCS aconselha que a consola do EPM não seja exposta à Internet, devendo o seu acesso ser restrito à rede interna e a endereços IP de gestão específicos. Além disso, recomenda-se a monitorização atenta dos registos de logs para identificar potenciais tentativas de exploração.

De igual modo, o CNCS indica a necessidade de avaliar as sessões ativas dos administradores, forçando o encerramento dessas sessões caso exista suspeita de comprometimento. É também recomendada a implementação de bloqueios a padrões suspeitos através dos sistemas de defesa, como firewalls ou WAF (Web Application Firewall).

O CNCS reforça a importância destas medidas para proteger as infraestruturas críticas e minimizar riscos associados a esta vulnerabilidade.