CISA alerta para exploração de vulnerabilidade histórica no Cisco IOS

A CISA alertou para a exploração ativa da vulnerabilidade CVE-2008-4128, uma falha de Cross-Site Request Forgery (CSRF) que afeta versões antigas do Cisco IOS.

A vulnerabilidade, divulgada originalmente em 2008, foi adicionada a 13 de julho ao catálogo Known Exploited Vulnerabilities (KEV) da CISA, sinalizando que continua a representar um risco para organizações que mantêm equipamentos vulneráveis em operação.

A falha afeta as versões 12.4(12) e 12.4(4) do Cisco IOS e pode permitir que um atacante remoto execute comandos arbitrários no dispositivo através de pedidos HTTP especialmente construídos. A exploração depende de um administrador autenticado na interface web de gestão aceder a conteúdo malicioso controlado pelo atacante.

Segundo a descrição da vulnerabilidade, os atacantes podem explorar diferentes URI da interface de administração para executar comandos, alterar configurações de routers e switches, criar aliases de comandos ou modificar definições do serviço HTTP.

A CISA não revelou detalhes sobre os grupos responsáveis pela exploração nem sobre as campanhas em curso, indicando apenas que, até ao momento, a vulnerabilidade não está associada a operações de ransomware.

Na sequência da inclusão da falha no catálogo KEV, as agências federais norte-americanas foram instruídas a aplicar as medidas de mitigação necessárias até 16 de julho de 2026, ao abrigo da diretiva Binding Operational Directive 22-040.

A agência recomenda que as organizações identifiquem equipamentos Cisco IOS vulneráveis, implementem as mitigações disponibilizadas pela Cisco e avaliem a necessidade de retirar de serviço dispositivos para os quais não existam atualizações ou medidas compensatórias.

Entre as recomendações constam ainda a limitação do acesso às interfaces de administração apenas a redes de confiança, a desativação de serviços HTTP ou HTTPS desnecessários e a verificação dos registos de atividade para detetar alterações não autorizadas, aliases de comandos suspeitos ou ações relacionadas com privilégios administrativos.

A CISA aconselha igualmente os administradores a evitarem navegar em sites não confiáveis enquanto mantêm sessões autenticadas nas interfaces de gestão dos equipamentos de rede.