Três produtos que vivem na fronteira das redes empresariais, SharePoint, Citrix NetScaler e Cisco Catalyst SD-WAN Manager, têm agora algo preocupante em comum: cada um foi apanhado com uma falha ativamente explorada e incluída no catálogo CISA Known Exploited Vulnerabilities (KEV) entre finais de setembro e início de outubro de 2026. Não é coincidência de calendário. É o retrato de uma tendência que o Verizon DBIR 2026 confirma com um número duro: a exploração de vulnerabilidades passou a ser o vetor de entrada mais usado em ataques, presente em 31% das violações, contra 20% no ano anterior, já ultrapassando o roubo de credenciais (13%).
Este artigo compara as três falhas, CVE-2026-65660 (SharePoint), CVE-2026-88771 e CVE-2026-88772 (Citrix NetScaler ADC/Gateway) e CVE-2026-76504 (Cisco Catalyst SD-WAN Manager), lado a lado: gravidade, exposição real na internet, quem as está a explorar e o que isso significa para quem gere infraestrutura em Portugal. O objetivo não é assustar, é dar números concretos para decidir que patch aplicar primeiro quando a equipa de segurança só tem tempo para um.
Porque é que setembro e outubro de 2026 foram tão mal para infraestrutura de rede
A 4 de outubro de 2026, a CISA acrescentou sete vulnerabilidades exploradas ao catálogo KEV numa única atualização, parte de um ritmo que já não abranda desde o verão. Seis dias depois, a 10 de outubro, juntou mais cinco, estas associadas à exploração por um grupo ligado à China conhecido como Flax Typhoon. No total, o catálogo KEV chegava a 11 de outubro de 2026 a 1.739 CVEs com evidência confirmada de exploração ativa, segundo dados agregados a partir do catálogo oficial. Destas, 255 entraram só em 2026, e 303 nos últimos doze meses.
O relatório ENISA Threat Landscape 2026, que cobre o período de janeiro a dezembro de 2025, identifica as três categorias de falha (CWE) mais associadas a vulnerabilidades exploradas conhecidas: injeção de comandos do sistema operativo (CWE-78), travessia de diretórios (CWE-22) e desserialização de dados não confiáveis (CWE-502). Estas três famílias de bugs continuam a aparecer, ano após ano, em produtos de rede expostos à internet, exatamente a categoria onde SharePoint, NetScaler e Cisco SD-WAN Manager se encaixam.
Para Portugal, o contexto importa de forma direta. Segundo a 7.ª edição do Microsoft Digital Defense Report, divulgada a 3 de outubro de 2026, o país ocupou o 19.º lugar na Europa entre os mercados com clientes mais impactados por atividade cibernética maliciosa no primeiro semestre do ano. Não é um lugar de topo, mas também não deixa margem para adiar patches em sistemas expostos à internet, sobretudo quando um dos atores identificados nesta vaga de ataques, o grupo Warlock, tem como alvo declarado organizações de países de língua portuguesa e espanhola.
CVE-2026-65660: a falha do SharePoint que gerou shells web
A vulnerabilidade CVE-2026-65660 afeta o Microsoft SharePoint Server on-premises e foi corrigida no Patch Tuesday de agosto de 2026. O problema é que a correção chegou depois de a falha já estar a ser explorada: a CISA confirmou exploração ativa e adicionou a CVE ao catálogo KEV a 25 de setembro de 2026, obrigando as agências federais norte-americanas a corrigir os sistemas até 28 de setembro.
Na prática, trata-se de uma execução remota de código de alta gravidade que permitiu a instalação de shells web em servidores comprometidos, dando aos atacantes uma porta de entrada persistente mesmo depois de reiniciar o servidor. O grupo identificado como Warlock, com ligações à China, continua a usar tanto esta falha nova como vulnerabilidades mais antigas do SharePoint em campanhas dirigidas a organizações de países de língua portuguesa e espanhola, segundo reportagem da The Hacker News publicada a 4 de outubro de 2026.
A dimensão da exposição ajuda a entender a urgência. A VulnCheck identificou cerca de 1.100 instâncias de SharePoint acessíveis pela internet associadas à campanha de exploração desta CVE. É um número bem mais contido do que os das duas falhas seguintes, mas cada instância de SharePoint tende a guardar documentos internos, listas de utilizadores e integrações com o Active Directory, o que torna qualquer comprometimento particularmente rico em dados para o atacante.
CVE-2026-88771 e CVE-2026-88772: os zero-days do Citrix NetScaler
Se há uma falha a dominar as conversas de segurança de rede em outubro de 2026, é esta dupla. A Citrix confirmou que CVE-2026-88771 e CVE-2026-88772 afetam o NetScaler ADC e o NetScaler Gateway e que ambas já tinham sido exploradas como zero-day antes da divulgação pública. Ao todo, o boletim de segurança da Citrix cobre oito falhas distintas nesta família (de CVE-2026-88771 a CVE-2026-88778), mas apenas as duas primeiras foram confirmadas em exploração ativa generalizada e acrescentadas ao catálogo KEV, a 27 de setembro de 2026.
CVE-2026-88771 é classificada como validação incorreta de entrada (CWE-20), com uma pontuação CVSS v4.0 de 9,5. Permite a um atacante sem qualquer autenticação executar comandos arbitrários no equipamento, sem precisar de nenhuma configuração especial, afeta todas as instalações de NetScaler ADC e Gateway por omissão. CVE-2026-88772 é um estouro de memória (CWE-119), também com CVSS 9,5, que pode resultar em execução remota de código ou negação de serviço, mas só se aplica quando o DTLS está ativo, o que acontece por defeito em qualquer servidor virtual de VPN.
A reação em cadeia que se seguiu diz muito sobre a gravidade. Segundo reportagem da SecurityWeek, vários administradores de rede desligaram preventivamente equipamentos NetScaler assim que suspeitaram de exploração, antes mesmo de a Citrix publicar o boletim oficial. A CISA deu às agências civis federais dos EUA até 30 de setembro de 2026 para aplicar a correção ou isolar os equipamentos afetados, um prazo de apenas três dias depois da divulgação.
CVE-2026-76504: o bypass de autenticação no Cisco Catalyst SD-WAN Manager
A terceira falha desta comparação tem um perfil diferente. CVE-2026-76504 afeta o Cisco Catalyst SD-WAN Manager e permite que um atacante remoto contorne a autenticação ao enviar um pedido HTTP construído de forma específica para a API do sistema, alcançando depois funções administrativas sem precisar de credenciais válidas. O boletim oficial da Cisco descreve o vetor de ataque com exatidão: um pedido único, bem formado, dirigido à API exposta.
A CISA confirmou exploração ativa desta CVE no mundo real e incluiu-a no catálogo KEV, mas o EPSS (Exploit Prediction Scoring System), que estima a probabilidade de exploração futura com base em padrões históricos, atribui-lhe apenas cerca de 1%. O contraste entre os dois números é instrutivo: o EPSS é um modelo preditivo, treinado em milhões de CVEs passadas, e falha precisamente nos casos mais raros e mais direcionados, aqueles em que um atacante motivado já tem a ferramenta pronta antes de qualquer scanner automático dar o alerta.
O Cisco Catalyst SD-WAN Manager não é um equipamento de borda isolado. É a consola central que controla a política de rede de filiais inteiras, por vezes dezenas ou centenas de sites de uma mesma empresa. Um atacante com acesso administrativo a esta API ganha, de um só golpe, visibilidade e controlo sobre a topologia de rede de toda a organização, o que o torna um alvo particularmente atrativo para quem procura espionagem ou sabotagem de longo prazo, em vez de ganho financeiro imediato.
Histórico: não é a primeira vez que estes três produtos entram no KEV
Vale a pena olhar para trás antes de tratar setembro e outubro de 2026 como um acaso. O Citrix NetScaler já tinha protagonizado episódios semelhantes em anos anteriores, com falhas de execução remota de código a atingir equipamentos de acesso remoto corporativo de forma recorrente. O padrão repete-se: um equipamento desenhado para ficar exposto na borda da rede, usado por milhares de empresas em todo o mundo, torna-se um alvo apetecível precisamente porque a sua função exige estar acessível pela internet.
O SharePoint segue uma lógica parecida. Servidores on-premises, por definição, dependem da equipa interna de TI para aplicar patches a tempo, ao contrário de serviços geridos na nuvem onde o fornecedor cuida da manutenção. A reportagem da The Hacker News sobre o grupo Warlock confirma que este ator não se limita à CVE-2026-65660, continua também a explorar vulnerabilidades mais antigas do SharePoint ainda presentes em servidores nunca totalmente corrigidos. É um recordatório simples: aplicar um patch novo não serve de nada se patches antigos ainda estiverem pendentes na mesma máquina.
Para o Cisco Catalyst SD-WAN Manager, o histórico público é mais curto, mas a lógica de risco é igual à dos outros dois: qualquer consola de gestão centralizada que exponha uma API acessível remotamente acumula valor como alvo à medida que mais filiais e mais tráfego passam a depender dela. Equipamentos de rede que terminam ligações VPN ou que validam certificados, como acontece no NetScaler Gateway, dependem também de mecanismos auxiliares de confiança, como os descritos na comparação entre OCSP, CRL e CT, que mostra como a validação de certificados SSL também tem prazos e falhas próprias a vigiar.
Tabela comparativa: as três falhas lado a lado
A tabela seguinte reúne os critérios que uma equipa de segurança usa para decidir prioridades de correção: gravidade, necessidade de autenticação, prazo até ao catálogo KEV e superfície de exposição confirmada.
| Critério | SharePoint (CVE-2026-65660) | Citrix NetScaler (CVE-2026-88771/88772) | Cisco SD-WAN Manager (CVE-2026-76504) |
|---|---|---|---|
| Tipo de vulnerabilidade | Execução remota de código (RCE) | RCE não autenticada / estouro de memória | Bypass de autenticação via API |
| CWE | Não divulgado publicamente | CWE-20 e CWE-119 | Não divulgado publicamente |
| Pontuação CVSS | Não divulgada pelos fornecedores até à publicação | 9,5 (CVSS v4.0) em ambas | Não divulgada, EPSS ≈ 1% |
| Autenticação necessária | Baixo privilégio combinado com bypass | Nenhuma em CVE-2026-88771 | Nenhuma (pedido HTTP direto à API) |
| Pré-condição de exploração | Servidor on-premises exposto | CVE-88772 exige DTLS ativo (padrão em VPN) | API de gestão acessível na rede |
| Data de entrada no KEV | 25 de setembro de 2026 | 27 de setembro de 2026 | Confirmada em outubro de 2026 |
| Prazo de remediação federal (EUA) | 28 de setembro de 2026 | 30 de setembro de 2026 | Definido pela CISA caso a caso |
| Patch disponível desde | Patch Tuesday de agosto de 2026 | Boletim CTX697096, 27 de setembro | Boletim Cisco publicado em outubro |
| Instâncias expostas na internet | ≈ 1.100 (VulnCheck) | 23.000 a 42.735, segundo a fonte | Não quantificado publicamente |
| Ator de ameaça identificado | Warlock (ligado à China) | Exploração em massa, sem atribuição única | Não atribuído publicamente |
| Dados em risco imediato | Documentos, Active Directory | Sessões VPN, tráfego de acesso remoto | Topologia e políticas de toda a WAN |
| Mitigação temporária | Isolar servidor, monitorizar shells web | Desativar DTLS, restringir acesso de gestão | Bloquear API a redes de confiança |
| Confirmação por fornecedor e CISA | Sim | Sim | Sim |
Benchmarks de exposição: quantos sistemas estão de facto vulneráveis
Os números de exposição variam bastante dependendo de quem mede e como. Para o NetScaler, a Shadowserver Foundation contabilizou mais de 23.000 endereços IP expostos em finais de setembro de 2026, divididos entre aproximadamente 22.000 equipamentos ADC e pouco mais de 1.500 instâncias de Gateway. A VulnCheck, usando metodologia própria de deteção, chegou a cerca de 38.300 instâncias NetScaler acessíveis pela internet. Já a Censys, que faz impressão digital de serviços em vez de confirmar vulnerabilidade real, encontrou 42.735 máquinas com NetScaler ADC ou Gateway identificável e 323.527 propriedades web associadas.
Estes três números não medem exatamente a mesma coisa, e é importante não os somar nem tratá-los como triplicação do problema. Shadowserver e VulnCheck tentam isolar equipamentos potencialmente vulneráveis, a Censys mede apenas presença de um serviço identificável, sem confirmar a versão exata do software. Mesmo assim, qualquer um dos três valores, isoladamente, representa uma superfície de ataque maior do que a de qualquer outra falha de rede divulgada este ano.
Para o SharePoint, a exposição medida pela VulnCheck foi de apenas 1.100 instâncias, um número que parece pequeno em comparação, mas que esconde um detalhe relevante: servidores SharePoint on-premises tendem a estar ligados diretamente ao Active Directory corporativo, pelo que cada instância comprometida vale, em termos de dados acessíveis, muito mais do que um único equipamento de borda isolado. Para quem acompanha a evolução do catálogo oficial ao longo do ano, a comparação entre NVD, CISA KEV e EPSS ajuda a entender como estes três sistemas de classificação se complementam e, por vezes, se contradizem.
Quanto ao custo de ignorar estes números, o Cost of a Data Breach Report 2026 da IBM situa o custo médio global de uma violação de dados em 4,99 milhões de dólares, um aumento de 12% em relação ao ano anterior e o valor mais alto já registado pelo estudo. O Verizon DBIR 2026, por seu lado, confirma que a exploração de vulnerabilidades já ultrapassou o roubo de credenciais como principal vetor de entrada, presente em 31% das violações analisadas. Juntos, os dois relatórios formam o pano de fundo financeiro que explica porque é que três falhas de rede, isoladas, mereceram atenção da CISA em menos de duas semanas.
Quem está a explorar estas falhas e como
No caso do SharePoint, a atribuição é a mais clara das três. O grupo Warlock, associado à China, continua a reaproveitar tanto vulnerabilidades antigas como a nova CVE-2026-65660 em campanhas dirigidas especificamente a organizações de países de língua portuguesa e espanhola. O padrão de ataque passa por explorar a falha, instalar um shell web persistente e manter acesso de longo prazo ao servidor, útil tanto para roubo de dados como para movimento lateral dentro da rede corporativa.
No NetScaler, a Citrix e a CISA confirmaram exploração ativa generalizada, mas nenhuma das fontes consultadas atribui a campanha a um único grupo nomeado. O padrão observado é típico de exploração oportunista em massa: scanners automáticos percorrem a internet à procura de equipamentos NetScaler não corrigidos, exploram a falha para obter execução de comandos e só depois decidem o que fazer com o acesso obtido, seja implantar ransomware, seja vender o acesso a outro operador.
Já no Cisco SD-WAN Manager, a exploração confirmada da API de gestão sugere um padrão diferente: menos volume, mais direcionado. Um atacante que invista tempo a mapear a topologia de rede de uma empresa específica, usando a própria API de gestão para isso, não está interessado em oportunismo de massa, está a preparar um acesso persistente e discreto a uma infraestrutura inteira. É o tipo de comportamento que o EPSS, construído sobre padrões de exploração em massa, subestima de forma sistemática.
Para equipas que já usam ferramentas de gestão de vulnerabilidades, a prioridade certa não é correr atrás de todas as CVEs publicadas, é cruzar a lista de ativos expostos com o catálogo KEV e os relatórios de exposição acima. Plataformas como as comparadas em Tenable vs Qualys vs Rapid7 já fazem esse cruzamento automaticamente, poupando horas de triagem manual quando o prazo de remediação é de três dias. O mesmo raciocínio aplica-se à exposição de APIs administrativas, tema já tratado na comparação entre GitLab, WSO2 e Apigee, onde uma falha semelhante de autenticação expôs interfaces de gestão críticas.
O custo real de adiar o patch: uma tabela de risco financeiro
Não existe uma etiqueta de preço pública para explorar uma CVE, mas existem números que ajudam a quantificar o risco de não corrigir a tempo. A tabela seguinte cruza dados verificados da IBM, da Verizon e dos próprios fornecedores para dar uma ideia do que está em jogo em cada caso.
| Fator de risco financeiro | SharePoint | Citrix NetScaler | Cisco SD-WAN Manager |
|---|---|---|---|
| Custo médio global de uma violação (IBM 2026) | 4,99 milhões de dólares (média global, todos os setores) | ||
| Custo médio nos EUA (IBM 2026) | 11,5 milhões de dólares | ||
| Peso da exploração de vulnerabilidades como vetor de entrada (Verizon DBIR 2026) | 31% das violações, acima dos 20% do ano anterior | ||
| Janela de remediação exigida pela CISA | 3 dias | 3 dias | Caso a caso, sem janela pública fixa |
| Dimensão da superfície exposta | Baixa (≈1.100 instâncias) | Muito alta (23.000 a 42.735) | Não divulgada publicamente |
| Valor dos dados acessíveis em caso de sucesso | Alto (ligação ao Active Directory) | Alto (tráfego VPN e sessões remotas) | Muito alto (topologia de toda a WAN) |
| Custo de inatividade se o equipamento for isolado preventivamente | Médio (um servidor por vez) | Alto (corta acesso remoto de toda a empresa) | Muito alto (pode afetar ligação entre filiais) |
A linha mais reveladora é a penúltima. Isolar um servidor SharePoint afeta um sistema. Isolar um equipamento NetScaler Gateway pode cortar o acesso remoto de uma empresa inteira, o que explica porque é que tantos administradores preferiram correr esse risco operacional em vez de manter o equipamento exposto depois de confirmada a exploração.
Cinco exemplos reais de como estas falhas já mudaram o comportamento das empresas
1. Agências federais dos EUA sob prazo de três dias. A CISA impôs às agências civis federais americanas um prazo até 30 de setembro de 2026 para corrigir ou isolar os equipamentos NetScaler afetados, um exemplo direto de como um alerta técnico se transforma em diretiva operacional obrigatória, com data e hora marcadas.
2. Administradores que desligaram equipamentos antes do boletim oficial. Segundo a SecurityWeek, várias equipas de rede optaram por desligar NetScaler Gateway e ADC por suspeita de exploração antes mesmo de a Citrix confirmar publicamente as duas CVEs, preferindo perder acesso remoto temporariamente a arriscar uma violação confirmada.
3. Campanhas dirigidas a organizações lusófonas. O grupo Warlock concentrou parte da sua atividade de exploração do SharePoint em organizações de países de língua portuguesa e espanhola, tornando esta falha particularmente relevante para equipas de segurança em Portugal e no Brasil, não apenas um problema distante.
4. Scanners automáticos a percorrer mais de 23 mil equipamentos. A escala documentada pela Shadowserver, com mais de 23.000 endereços NetScaler expostos, mostra que a exploração oportunista em massa já está a decorrer, independentemente de qualquer organização ser um alvo escolhido a dedo.
5. Acesso à API de gestão de rede inteira. No caso do Cisco SD-WAN Manager, a exploração confirmada da API através de um único pedido HTTP mostra como uma falha de autenticação, aparentemente contida, pode dar a um atacante visibilidade sobre a política de rede de dezenas de filiais de uma só vez.
Prós e contras de cada plataforma do ponto de vista da segurança
SharePoint on-premises
- Prós: controlo total sobre a localização dos dados, integração profunda com Active Directory, independência de ligação à internet para operações internas.
- Contras: alvo recorrente de campanhas de RCE ano após ano, exige equipa própria para aplicar patches rapidamente, superfície de ataque cresce com cada integração adicional.
Citrix NetScaler ADC/Gateway
- Prós: funcionalidades maduras de balanceamento de carga e VPN empresarial, adoção enorme que garante suporte e documentação abundantes.
- Contras: exposto à internet por definição, com dezenas de milhares de instâncias vulneráveis identificadas em semanas, e um histórico repetido de zero-days críticos nos últimos anos.
Cisco Catalyst SD-WAN Manager
- Prós: gestão centralizada de política de rede para organizações com muitas filiais, reduz trabalho manual de configuração por site.
- Contras: a própria centralização é o risco, uma única API comprometida expõe a topologia de toda a rede, e a falha de autenticação mostrou que o perímetro de gestão nem sempre está isolado como devia.
Guia de migração e mitigação: como saír da zona de risco
Independentemente do produto, a sequência de resposta segue uma lógica semelhante: identificar, isolar, corrigir, verificar. Eis os passos concretos para cada um dos três sistemas.
- Confirme a versão instalada de SharePoint, NetScaler ou Catalyst SD-WAN Manager e compare com os boletins oficiais do fornecedor correspondente a CVE-2026-65660, CVE-2026-88771/88772 ou CVE-2026-76504.
- Consulte o catálogo CISA KEV para ver se o equipamento específico da sua organização está listado como ativamente explorado, e trate essa listagem como prioridade máxima, acima de qualquer outro ticket aberto.
- Se o patch não puder ser aplicado de imediato, isole o sistema da internet pública, mesmo que isso corte temporariamente o acesso remoto ou a ligação entre filiais.
- No caso do NetScaler, desative o DTLS nos servidores virtuais de VPN se não for estritamente necessário, reduzindo a superfície de CVE-2026-88772 sem afetar outras funções.
- No caso do Cisco SD-WAN Manager, restrinja o acesso à API de gestão apenas a redes internas de confiança, nunca à internet pública, independentemente do patch aplicado.
- Aplique o patch oficial: Patch Tuesday de agosto de 2026 para SharePoint, boletim CTX697096 para NetScaler, boletim Cisco de outubro de 2026 para o SD-WAN Manager.
- Procure indicadores de comprometimento anteriores ao patch, sobretudo shells web em servidores SharePoint e processos administrativos não reconhecidos em consolas NetScaler ou SD-WAN Manager.
- Documente a correção e a data, porque auditorias futuras de conformidade (incluindo a NIS2 em Portugal) vão pedir precisamente este registo.
Para equipas que preferem automatizar a primeira verificação, um pedido simples ao catálogo KEV oficial já diz se uma CVE específica está listada:
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
| grep -i "CVE-2026-88771\|CVE-2026-88772\|CVE-2026-65660\|CVE-2026-76504"Este comando devolve apenas as linhas relevantes do feed oficial da CISA, uma forma rápida de confirmar, em qualquer pipeline de automação, se alguma das três CVEs desta comparação já está marcada como explorada antes de decidir a ordem de correção.
Recomendações de uso: quando priorizar cada sistema
A pergunta mais prática não é “qual destes produtos devo abandonar”, é “qual destes riscos trato primeiro com os recursos que tenho”. A resposta certa depende do que a sua organização já tem instalado, de quantas pessoas trabalham na equipa de segurança e de quão exposta à internet está cada peça de infraestrutura. Eis seis cenários concretos, pensados para cobrir a maioria das situações reais encontradas em empresas portuguesas de dimensão média a grande.
- Se tem SharePoint on-premises exposto à internet: aplique o patch de agosto de 2026 imediatamente e avalie migrar para SharePoint Online se a equipa de TI for pequena, porque manter um servidor on-premises atualizado exige disciplina contínua.
- Se usa NetScaler Gateway como VPN de acesso remoto para colaboradores: trate-o como prioridade absoluta esta semana, dada a combinação de CVSS 9,5, ausência de autenticação necessária e mais de 23.000 instâncias já identificadas como expostas globalmente.
- Se gere uma rede SD-WAN com múltiplas filiais: isole já a API de gestão do Catalyst SD-WAN Manager da internet pública, independentemente de ter ou não aplicado o patch mais recente.
- Se a equipa de segurança é pequena e não consegue corrigir tudo ao mesmo tempo: priorize por presença no catálogo KEV, não por ordem alfabética de fornecedor, porque é esse catálogo que reflete exploração confirmada, não apenas risco teórico.
- Se a sua organização está abrangida pela NIS2 em Portugal ou por outra regulação de infraestrutura crítica: trate os prazos de três dias impostos pela CISA às agências federais americanas como referência mínima interna, mesmo sem obrigação legal direta, porque é esse o ritmo a que os atacantes já estão a operar.
- Se gere TI para múltiplos clientes como prestador de serviços geridos: cruze a lista de clientes com qualquer um destes três produtos antes de qualquer outra tarefa desta semana, porque um único cliente comprometido pode servir de ponto de entrada para os restantes.
Erros comuns ao corrigir estas três vulnerabilidades
Mesmo com o patch disponível e o prazo da CISA bem conhecido, várias equipas de segurança repetem os mesmos erros quando correm contra o relógio. Vale a pena nomeá-los, porque reconhecer o erro antes de o cometer poupa horas numa semana já apertada.
O primeiro erro é confundir “patch aplicado” com “ameaça eliminada”. Se um atacante já tinha acesso ao sistema antes da correção, instalar o patch tapa a porta de entrada original, mas não remove um shell web ou uma conta administrativa criada enquanto a falha ainda estava aberta. É por isso que o guia de migração acima insiste em procurar indicadores de comprometimento anteriores ao patch, e não apenas confirmar que a versão corrigida está instalada.
O segundo erro é tratar os números de exposição da Shadowserver, da VulnCheck ou da Censys como garantia de que “a minha organização não está na lista, logo não há risco”. Nenhuma destas fontes consegue, nem tenta, mapear cada rede privada do mundo. Se o seu equipamento NetScaler ou SharePoint estiver acessível pela internet, está potencialmente exposto, independentemente de ter sido contado ou não num scan específico feito noutra data.
O terceiro erro, mais comum em organizações maiores, é esperar por uma janela de manutenção agendada para aplicar um patch crítico já confirmado como explorado. Quando a CISA dá três dias, não são três dias úteis dentro do próximo ciclo mensal de manutenção, são três dias de calendário. Equipas que seguem o processo normal de alterações, com aprovações em cadeia e testes extensos antes de qualquer atualização em produção, chegam frequentemente tarde demais quando a vulnerabilidade já consta do catálogo KEV.
O quarto erro é esquecer os sistemas secundários. Uma organização pode corrigir rapidamente o NetScaler de produção e esquecer-se de um ambiente de testes ou de recuperação de desastre com a mesma versão vulnerável, também acessível pela internet por conveniência operacional. Um atacante que faça varrimento em massa não distingue produção de ambiente de testes, só vê um endereço IP com uma porta aberta.
Veredito: qual das três falhas representa o maior risco
Com base nos dados reunidos, CVE-2026-88771 no Citrix NetScaler é a mais perigosa das três, por uma combinação simples de fatores: pontuação CVSS confirmada de 9,5, ausência total de autenticação necessária, nenhuma pré-condição de configuração e uma superfície de exposição que varia entre 23.000 e mais de 42.000 equipamentos, segundo a fonte consultada. É também a única das três com exploração confirmada em escala verdadeiramente global, não apenas regional.
A CVE-2026-65660 do SharePoint ocupa o segundo lugar, não pela dimensão da exposição (muito menor, cerca de 1.100 instâncias), mas pela qualidade dos dados em risco e pela atribuição clara a um grupo com alvo declarado em organizações lusófonas, o que a torna particularmente relevante para leitores em Portugal. A CVE-2026-76504 do Cisco SD-WAN Manager fica em terceiro neste veredito não porque seja menos grave tecnicamente (é tão perigosa quanto as outras para quem for alvo direto), mas porque a falta de números públicos de exposição e de atribuição a um ator conhecido dificulta avaliar a escala real do problema até à data de publicação.
O denominador comum entre as três continua a ser o mesmo que o Verizon DBIR 2026 já tinha identificado: a exploração de vulnerabilidades ultrapassou o roubo de credenciais como porta de entrada preferida dos atacantes. Corrigir estas três CVEs específicas resolve o problema de hoje. Ter um processo que cruze automaticamente ativos expostos com o catálogo KEV resolve o próximo, que já deve estar a ser divulgado enquanto este artigo é publicado.
Perguntas frequentes
O que é o catálogo CISA KEV e porque é que importa tanto nesta comparação?
O Known Exploited Vulnerabilities é a lista oficial da agência norte-americana de cibersegurança (CISA) de falhas com evidência confirmada de exploração ativa no mundo real, não apenas risco teórico. Em outubro de 2026 contava 1.739 CVEs. Uma entrada nesta lista costuma significar prazo de correção obrigatório para agências federais dos EUA e é, na prática, o sinal mais fiável de que uma falha já está a ser usada por atacantes reais.
A minha empresa em Portugal é obrigada a cumprir os prazos da CISA?
Não diretamente, esses prazos aplicam-se apenas a agências federais civis dos Estados Unidos. Ainda assim, dado que o mesmo exploit técnico funciona em qualquer parte do mundo, e que Portugal ficou no 19.º lugar europeu em impacto de cibercrime no primeiro semestre de 2026 segundo a Microsoft, usar esses prazos como referência interna é mais prudente do que ignorá-los.
Preciso de corrigir as três falhas ao mesmo tempo?
Só se usar os três produtos. A maioria das organizações usa apenas um ou dois destes sistemas. A prioridade, nesse caso, deve seguir a ordem deste veredito: NetScaler primeiro pela escala de exposição e ausência de autenticação, SharePoint a seguir pela atribuição confirmada a um grupo com alvo regional, e Cisco SD-WAN Manager com a mesma urgência técnica mas avaliação de impacto caso a caso.
O EPSS de 1% na CVE-2026-76504 significa que o risco é baixo?
Não. O EPSS estima a probabilidade de exploração futura com base em padrões históricos de milhões de outras CVEs, mas a CISA já confirmou exploração ativa real desta falha específica. Quando uma pontuação preditiva baixa coexiste com confirmação oficial de exploração, a confirmação oficial deve prevalecer sempre sobre o modelo estatístico.
Desligar o equipamento é mesmo necessário se eu não puder aplicar o patch de imediato?
Em pelo menos um caso documentado, administradores de rede optaram exatamente por isso com equipamentos NetScaler, preferindo perder acesso remoto temporariamente a manter um sistema com execução remota de código não autenticada exposto à internet. Quando a alternativa é uma violação confirmada com custo médio de 4,99 milhões de dólares segundo a IBM, a perda temporária de disponibilidade tende a ser a opção mais barata.
Os números de instâncias expostas da Shadowserver, VulnCheck e Censys não deviam ser o mesmo valor?
Não, porque medem coisas ligeiramente diferentes. A Shadowserver e a VulnCheck tentam isolar equipamentos potencialmente vulneráveis à versão específica afetada, enquanto a Censys regista qualquer serviço identificável como NetScaler, vulnerável ou não. Os três números devem ser lidos como estimativas complementares da mesma superfície de risco, não como contagens rivais da mesma métrica.
E se a minha empresa não tiver uma equipa de segurança dedicada?
Nesse cenário, o mais eficiente é delegar a monitorização contínua a um fornecedor externo ou a uma plataforma de gestão de vulnerabilidades que já cruze automaticamente os seus ativos com o catálogo KEV, em vez de tentar acompanhar manualmente cada boletim de segurança da Microsoft, da Citrix e da Cisco. Pequenas e médias empresas sem equipa dedicada são, na prática, o grupo mais vulnerável a estas três falhas, precisamente porque o tempo entre divulgação e exploração em massa já se mede em dias, não em semanas.
Onde posso acompanhar novas atualizações sobre estas três CVEs?
As fontes mais fiáveis continuam a ser os boletins oficiais de cada fornecedor (Citrix, Cisco e Microsoft), o catálogo CISA KEV atualizado quase diariamente, e relatórios de rastreamento independentes como os da SANS NewsBites. Para contexto mais amplo sobre como se gere a exposição de APIs administrativas e infraestrutura de rede, vale também consultar a secção de Cibersegurança deste site, assim como a comparação de ferramentas de postura de segurança em Sysdig, Orca e Lacework para acompanhamento contínuo.
