Falhas críticas ameaçam gestão de IT e servidores

A Citrix e a Ivanti disponibilizaram atualizações de segurança para corrigir um total de 19 vulnerabilidades nos seus produtos, incluindo falhas de gravidade crítica e elevada que podem permitir a execução remota de código, a escalada de privilégios e o comprometimento de sistemas empresariais.

A Ivanti corrigiu 13 vulnerabilidades distribuídas por cinco produtos, entre as quais duas falhas críticas identificadas no Cloud Services Application (CSA) e no Endpoint Manager (EPM), ambas suscetíveis de exploração remota sem necessidade de autenticação.

No CSA, a vulnerabilidade CVE-2026-121683, com uma classificação de 9,4 no sistema CVSS, resulta da ausência de mecanismos de autenticação e pode permitir que atacantes adicionem ou eliminem entradas arbitrárias de certificados considerados fidedignos pelo EPM Core.

A falha foi corrigida na versão 5.0.8.1 do CSA. Segundo a Ivanti, as implementações que utilizam uma configuração Dual NIC não estão expostas à exploração externa desta vulnerabilidade.

Já no Endpoint Manager, a vulnerabilidade CVE-2026-121653 apresenta uma pontuação CVSS de 9,8 e resulta de uma falha de injeção SQL que pode permitir a execução remota de código sem autenticação.

A correção foi disponibilizada na versão EPM 2024 SU8, que resolve também uma vulnerabilidade de gravidade média relacionada com a transmissão de informação sensível sem encriptação, suscetível de exploração através de ataques man-in-the-middle (MitM).

A fabricante corrigiu ainda quatro vulnerabilidades no Sentry, incluindo uma falha de gravidade elevada que pode permitir a execução remota de código. Identificada como CVE-2026-105425, esta vulnerabilidade foi igualmente corrigida no Endpoint Manager Mobile (EPMM), juntamente com outras cinco falhas de gravidade média.

O conjunto de atualizações inclui também uma correção para uma vulnerabilidade de gravidade média no User Workspace Manager (UWM). A Ivanti afirma não ter conhecimento de ataques que estejam a explorar qualquer uma das falhas agora corrigidas.

Citrix corrige falhas no XenServer

A Citrix disponibilizou atualizações para resolver seis vulnerabilidades no XenServer, a sua plataforma de virtualização, incluindo uma falha de gravidade elevada que pode permitir o comprometimento dos servidores anfitriões.

Identificada como CVE-2026-102705, a vulnerabilidade pode permitir que atacantes obtenham informações sobre o Pool Secret, um elemento utilizado na comunicação e autenticação entre os servidores de um conjunto de recursos XenServer, comprometendo potencialmente a segurança do sistema anfitrião.

As restantes cinco vulnerabilidades podem permitir a escalada de privilégios ou possibilitar que administradores com diferentes níveis de acesso interrompam tarefas em execução associadas a outras funções administrativas.

A Citrix lançou ainda atualizações destinadas a mitigar várias vulnerabilidades em processadores AMD que podem permitir a máquinas virtuais comprometer o servidor anfitrião ou obter informações sobre o conteúdo da memória utilizada por outras máquinas virtuais.

As correções procuram reduzir os riscos associados à exploração destas falhas em ambientes empresariais de gestão de dispositivos e virtualização, onde o comprometimento de sistemas centrais pode afetar múltiplos equipamentos e serviços.