Falhas em VPN expõem empresas a ransomware

Uma nova vaga de ataques está a explorar vulnerabilidades em equipamentos de acesso remoto e firewalls da Palo Alto Networks, Fortinet, Check Point e Citrix, o que transforma estes sistemas na principal porta de entrada para ataques de ransomware contra redes empresariais.

Segundo a análise, grupos de cibercrime, incluindo afiliados da operação de Ransomware-as-a-Service Qilin, estão a combinar vulnerabilidades que permitem contornar mecanismos de autenticação, campanhas de roubo de credenciais e fraquezas em protocolos antigos para obter acesso às redes sem necessidade de credenciais válidas.

Uma vez comprometidos os sistemas, os atacantes avançam rapidamente para movimentos laterais, exfiltração de dados e implementação de ransomware, muitas vezes poucos dias após a divulgação pública das vulnerabilidades.

O relatório identifica quatro campanhas distintas. A primeira, designada Fortibleed, permitiu comprometer credenciais de dezenas de milhares de firewalls FortiGate expostos à Internet, explorando fragilidades conhecidas no armazenamento de palavras-passe e sistemas sem atualizações de segurança. Investigadores estimam que entre 30 mil e 75 mil dispositivos tenham sido afetados em 194 países.

Outra campanha explora a vulnerabilidade CVE-2026-0257 no GlobalProtect, da Palo Alto Networks. A falha permite forjar cookies de autenticação e estabelecer sessões VPN sem necessidade de palavra-passe ou autenticação multifator, desde que determinadas configurações estejam ativadas. A vulnerabilidade já está a ser explorada por afiliados do grupo Qilin.

No caso da Check Point, os atacantes recorrem à vulnerabilidade CVE-2026-50751, que afeta implementações de VPN configuradas com o protocolo legado IKEv1. A falha permite contornar a autenticação e criar sessões VPN não autorizadas, tendo sido igualmente associada a operações do grupo Qilin.

A quarta campanha incide sobre o NetScaler ADC e NetScaler Gateway, da Citrix. A vulnerabilidade CVE-2026-8451 permite a divulgação de fragmentos de memória dos equipamentos através de pedidos SAML especialmente manipulados, podendo facilitar ataques subsequentes. Segundo o relatório, as primeiras tentativas de exploração surgiram menos de 24 horas após a divulgação da falha.

Os investigadores alertam para o facto de equipamentos VPN e firewalls expostos à Internet se terem tornado num dos principais vetores de acesso inicial utilizados por operadores de ransomware, por estarem permanentemente acessíveis e, em muitos casos, utilizarem firmware desatualizado ou protocolos antigos por razões de compatibilidade.

Entre os setores mais visados encontram-se saúde, educação, indústria, administração pública, comunicação social e infraestruturas críticas, sobretudo nos Estados Unidos, Reino Unido, Austrália e Europa Ocidental.

Como medidas de mitigação, os investigadores recomendam a atualização imediata dos equipamentos afetados, a rotação das credenciais administrativas e de acesso VPN, a desativação de funcionalidades e protocolos antigos sempre que possível, a adoção de autenticação multifator resistente a phishing e o reforço da monitorização dos registos de autenticação e atividade nas redes.