CNCS alerta para falhas críticas em routers, switches e plataformas web

O Centro Nacional de Cibersegurança (CNCS) divulgou um conjunto de alertas relativos a vulnerabilidades que afetam equipamentos de rede e plataformas web. Entre os sistemas abrangidos estão MikroTik RouterOS, Cisco IOS XR, Cisco Nexus 9000, GeoNetwork, Adobe Commerce e Magento Open Source.

As falhas mais graves permitem a atacantes remotos e não autenticados executar código ou obter controlo dos sistemas vulneráveis. No caso do RouterOS e do Adobe Commerce e Magento, a informação divulgada indica também exploração ativa.

Falhas no MikroTik podem dar controlo administrativo

No RouterOS foram identificadas seis vulnerabilidades, duas das quais podem ser encadeadas para obter controlo total do equipamento através de SSH.

A CVE-2026-67276, com CVSS de 9,2, permite contornar a autenticação SSH devido à forma como o RouterOS valida chaves públicas RSA. Já a CVE-2026-86060, também com 9,2, permite manipular os privilégios associados à sessão.

Combinadas, as duas falhas possibilitam que um atacante que conheça determinados elementos de uma conta existente consiga autenticar-se sem possuir a respetiva chave privada e elevar a sessão a privilégios administrativos.

Uma terceira vulnerabilidade, CVE-2026-67277, tem CVSS de 8,8 e afeta o serviço bandwidth-test, podendo provocar fuga de informação da memória do kernel ou negação de serviço.

As correções estão disponíveis no RouterOS 6.49.21, 7.23.4 e 7.24.2, além da versão 7.25beta3. O CNCS recomenda atualização imediata e a análise dos logs e configurações para procurar possíveis indicadores de compromisso.

Cisco corrige vulnerabilidades críticas no IOS XR

O Cisco IOS XR é afetado por várias vulnerabilidades, incluindo dois grupos classificados com CVSS de 9,8.

A CVE-2026-20274 agrega diferentes problemas relacionados com gestão de memória e recursos, incluindo buffer overflows, leitura e escrita fora dos limites e use after free. A CVE-2026-20279 abrange falhas de controlo de acesso, autenticação e autorização.

Segundo o alerta, todas as releases do IOS XR são afetadas, incluindo IOS XR7 (LNT), independentemente da configuração. A exploração pode ocorrer remotamente sem autenticação ou interação do utilizador.

Não existem workarounds. A Cisco disponibilizou Software Maintenance Updates (SMU) para várias releases, sendo necessário atualizar para uma versão suportada e aplicar os SMU correspondentes. As releases 26.2.2 e 26.3.1 deverão ser as primeiras a incorporar as correções sem esta etapa adicional.

Nexus 9000 expõe serviço com privilégios root

Outro alerta incide sobre determinados Cisco Nexus 9000 Series Switches equipados com ASIC Silicon One.

A CVE-2026-20212, classificada com CVSS de 9,8, deixa os portos TCP 43210 e 43211 acessíveis na instância Virtual Routing and Forwarding (VRF) de Layer 3 predefinida.

Um atacante com acesso de rede a estes portos pode enviar input especialmente preparado e executar código com privilégios root, sem autenticação. A exploração pode também provocar o reinício do equipamento e interromper o tráfego.

A Cisco recomenda a atualização para uma release corrigida do NX-OS. Até à atualização, podem ser utilizadas infrastructure access control lists (iACL) para bloquear o acesso aos portos afetados, estando também disponível uma mitigação através do Live Protect.

GeoNetwork permite execução de código sem autenticação

Duas vulnerabilidades no GeoNetwork podem também ser combinadas para obter execução remota de código sem autenticação.

A CVE-2026-63219 permite carregar ficheiros de formatter sem autorização, enquanto a CVE-2026-58400 possibilita a execução de comandos através de stylesheets processados pelo Saxon.

Em conjunto, um atacante pode carregar um formatter malicioso e desencadear posteriormente a sua execução através de um pedido a um registo público.

As versões corrigidas são GeoNetwork 4.4.12 e 4.2.17. Para sistemas que não possam ser imediatamente atualizados, o CNCS recomenda bloquear métodos de escrita no endpoint /geonetwork/srv/api/formatters e restringir o acesso às interfaces administrativas.

Adobe Commerce está sob exploração ativa

O CNCS alerta ainda para a CVE-2026-75650 no Adobe Commerce, Adobe Commerce B2B e Magento Open Source. A vulnerabilidade de Server-Side Template Injection (SSTI) tem a classificação máxima de CVSS 10,0.

A falha permite que um atacante remoto e não autenticado injete código PHP no sistema de templates e desencadeie a sua execução através do processamento da mensagem “Payment Transaction Failed Reminder”. Não é necessário que o destinatário abra o email.

A vulnerabilidade está a ser explorada ativamente e pode dar acesso ao servidor, base de dados, informação de clientes e credenciais armazenadas.

A Adobe disponibilizou o hotfix VULN-39341. Contudo, o CNCS salienta que a mitigação não termina com a aplicação da correção: é necessário alterar chaves de encriptação, palavras-passe administrativas, tokens de integração, secrets OAuth, credenciais dos gateways de pagamento, base de dados, chaves SSH e outras credenciais potencialmente expostas.

Perante a diversidade e severidade das vulnerabilidades divulgadas, os alertas colocam a prioridade na atualização dos sistemas afetados. Nos casos em que existe exploração ativa ou possibilidade de comprometimento anterior à aplicação das correções, a atualização deve ser acompanhada pela procura de indicadores de compromisso e pela revisão de credenciais e configurações.