Uma onda coordenada de exploração direcionada a appliances de firewall e vpn de borda de quatro grandes fabricantes emergiu como o vetor de acesso inicial dominante para operadores de ransomware no segundo semestre de 2026. Os atores de ameaças, incluindo afiliados da operação de ransomware-as-a-service (RaaS) Qilin, estão encadeando falhas de bypass de autenticação, campanhas de coleta de credenciais e fraquezas em protocolos legados para obter acesso não autenticado ou sem credenciais às perimetrais corporativas.
Uma vez dentro, esses atores movem-se rapidamente em direção ao movimento lateral, exfiltração de dados e implantação de ransomware de extorsão dupla, muitas vezes dentro de dias da divulgação pública de uma CVE. As campanhas analisadas aqui abrangem quatro incidentes separados, mas convergentes: a campanha de comprometimento massivo de credenciais "Fortibleed" contra aproximadamente 75.000 firewalls FortiGate visíveis na internet; a exploração ativa da falha de bypass de autenticação do Palo Alto GlobalProtect (CVE-2026-0257); a exploração vinculada ao Qilin da falha de bypass de autenticação da vpn Check Point (CVE-2026-50751) ligada ao protocolo IKEv1 obsoleto; e o abuso rápido em uso real de um novo bug de divulgação de memória estilo CitrixBleed no NetScaler (CVE-2026-8451).
Cada incidente sublinha a mesma realidade operacional: a infraestrutura de acesso remoto voltada para a internet tornou-se a porta de entrada preferida do ecossistema de ransomware. A velocidade de weaponização também se comprimiu dramaticamente. Os atacantes exploraram a falha do Palo Alto GlobalProtect dentro de dias do código de prova de conceito público ser liberado, e as tentativas de exploração contra a falha do Citrix NetScaler começaram menos de 24 horas após a divulgação da Citrix em julho de 2026. Essa janela de exploração quase imediata deixa os defensores com muito pouco tempo entre o lançamento do patch e o abuso ativo.
Por que gateways vpn se tornaram o ponto de entrada preferido
As vpn empresariais e appliances de firewall ficam na borda da rede, são alcançáveis pela internet por design e frequentemente executam firmware desatualizado ou protocolos legados que as organizações relutam em desativar devido a preocupações de compatibilidade. Essa combinação os torna atraentes para afiliados de ransomware que prezam por uma rota rápida e de baixo ruído para a rede interna de um alvo sem acionar ferramentas de detecção de endpoint. O bypass de autenticação bem-sucedido ou o roubo de credenciais contra um concentrador vpn permite que um atacante entre como um usuário remoto "legítimo", contornando totalmente a maioria dos controles de segurança focados na perimetral.
Campanha 1: Comprometimento massivo de credenciais Fortibleed
O Fortibleed é uma campanha de coleta de credenciais em larga escala, identificada pela primeira vez em meados de junho de 2026, na qual atores de ameaças extraíram sistematicamente arquivos de configuração de firewalls Fortinet FortiGate voltados para a internet e quebraram os hashes de senha armazenados. A análise independente por Kevin Beaumont, Hudson Rock e SOCRadar encontrou credenciais de administrador e ssl vpn funcionais para entre aproximadamente 30.791 e 75.000 dispositivos abrangendo 194 países e mais de 21.000 domínios, aproximadamente metade de todos os appliances FortiGate visíveis no Shodan.
Diferente de uma cadeia de exploração de uma única CVE, o Fortibleed reflete o efeito cumulativo de fraquezas de armazenamento de credenciais do FortiOS anteriormente conhecidas combinadas com senhas fracas ou reutilizadas e appliances não corrigidas deixadas expostas à internet. Pesquisadores alertam que qualquer organização que apareça no conjunto de dados exposto deve tratar sua perimetral de rede como já comprometida.
Campanha 2: Bypass de autenticação do Palo Alto GlobalProtect (CVE-2026-0257)
O Palo Alto Networks divulgou o CVE-2026-0257 em 13 de maio de 2026, descrevendo uma vulnerabilidade de bypass de autenticação (CWE-565) nos componentes do portal e gateway do GlobalProtect do PAN-OS. A falha decorre do PAN-OS confiar em qualquer cookie de sobrescrita de autenticação que possa decifrar sem verificar se o cookie foi gerado legítimamente pelo dispositivo. Se o mesmo certificado for reutilizado para o serviço https do GlobalProtect e criptografia de cookie, um atacante pode recuperar a cadeia de certificados do serviço https público e forjar cookies válidos para qualquer usuário, incluindo administradores.
A exploração requer três condições: portal ou gateway do GlobalProtect habilitado, cookies de sobrescrita de autenticação habilitados (não padrão) e reutilização ou exposição de certificado. A Rapid7 publicou um proof-of-concept funcional em 29 de maio de 2026, levando o Palo Alto a aumentar a pontuação CVSS de 4,7 inicial para 7,8, e a CISA adicionou a falha ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) no mesmo dia. A exploração ativa foi confirmada desde 17 de maio de 2026. Em julho de 2026, afiliados do ransomware Qilin foram confirmados abusando dessa falha para obter acesso vpn não autorizado a redes não corrigidas.
Campanha 3: Bypass de autenticação vpn Check Point IKEv1 (CVE-2026-50751)
O Check Point divulgou o CVE-2026-50751 (CVSS 9,3) em 8 de junho de 2026, alertando para exploração ativa de uma falha de fluxo lógico na validação de certificados que afeta implantações de vpn de acesso remoto e mobile configuradas para usar o protocolo de troca de chaves IKEv1 obsoleto. A falha permite que um atacante remoto não autenticado contorne a autenticação de usuário e estabeleça uma sessão vpn sem uma senha válida.
A exploração requer que várias condições se alinhem: vpn de acesso remoto ou mobile habilitada, IKEv1 habilitado para acesso remoto, gateways aceitando clientes de acesso remoto legados e sem requisito de certificado de máquina. O Check Point confirmou que os ataques contra a falha começaram tão cedo quanto 7 de maio de 2026, um mês inteiro antes da divulgação pública, e aumentaram o ritmo no início de junho. Criticamente, o Check Point confirmou que um afiliado do ransomware Qilin explorou a vulnerabilidade em atividade pós-comprometimento contra organizações vítimas.
Campanha 4: Divulgação de memória estilo CitrixBleed no Citrix NetScaler (CVE-2026-8451)
A Citrix divulgou seis vulnerabilidades no NetScaler ADC e NetScaler Gateway em 30 de junho de 2026, a mais urgente sendo o CVE-2026-8451 (CVSS 8,8), uma leitura fora dos limites pré-autenticação no analisador XML/SAML do NetScaler que pode vazar fragmentos de memória do appliance via cookie NSC_TASS quando um dispositivo é configurado como um Provedor de Identidade SAML. Os pesquisadores classificaram isso na mesma família de vulnerabilidade "CitrixBleed" que o original CVE-2023-4966, CitrixBleed 2 (CVE-2025-5777) e CitrixBleed 3 (CVE-2026-3055), todos os quais foram armados por atores de ransomware após a divulgação.
As tentativas de exploração começaram menos de 24 horas após a divulgação. A empresa de segurança Lupovis observou atores de ameaças sondando sistemas NetScaler expostos com payloads <samlp:AuthnRequest> malformados preenchidos com centenas de espaços, um padrão correspondendo ao artefato de detecção publicado pela watchTowr, com uma campanha rastreada até o IP 146.70.139[.]154.
Medidas de mitigação recomendadas
Organizações executando qualquer um dos quatro produtos afetados devem priorizar as seguintes ações, classificadas por urgência:
- Corrija todas as appliances de PAN-OS GlobalProtect, Check Point Security Gateway, Citrix NetScaler e FortiGate voltadas para a internet para as versões fixas especificadas pelo fabricante imediatamente
- Gire todas as credenciais administrativas e vpn em dispositivos Fortinet, tratando a exposição como presumida a menos que verificada independentemente de outra forma
- Desative cookies de sobrescrita de autenticação (Palo Alto) e IKEv1 (Check Point) sempre que a compatibilidade legada não for um requisito rígido
- Imponha MFA resistente a phishing em cada conta de acesso remoto e administrativa, e desative ou renomeie contas "admin" padrão
- Estenda a cobertura de monitoramento EDR e comportamental para ambientes Windows Subsystem for Linux (WSL), dadas as técnicas de evasão documentadas do Qilin
- Monitore logs de autenticação para sessões vpn estabelecidas sem validação completa de senha, IPs de origem de provedor de hospedagem inesperados ou nomes de host como "kali"
- Cruze logs de firewall, EDR e autenticação vpn contra as tabelas de IOC publicadas acima, com atenção particular a transferências de saída fora do horário indicativas de staging de exfiltração
Implicações regulatórias e LGPD
Para organizações brasileiras, esses ataques têm implicações diretas para a conformidade com a Lei Geral de Proteção de Dados (LGPD). O comprometimento de gateways vpn frequentemente resulta no acesso não autorizado a dados pessoais de clientes e funcionários. A falha em proteger adequadamente os controles de acesso remoto pode ser interpretada como uma falha na implementação de medidas de segurança técnicas e administrativas adequadas, conforme exigido pelo artigo 46 da LGPD. Em caso de incidente, as organizações devem notificar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados dentro dos prazos legais, o que pode resultar em multas significativas dependendo da gravidade e do número de afetados.
Perguntas frequentes
Os patches estão disponíveis para todos os produtos afetados?
Sim, os fabricantes liberaram patches e hotfixes específicos para as versões afetadas. É crucial verificar a matriz de compatibilidade do fabricante antes de aplicar.
Devo desativar a vpn imediatamente?
Não necessariamente, mas se não for possível aplicar o patch imediatamente, restrinja o acesso à vpn a intervalos de IP confiáveis e exija MFA. A desativação total pode impactar operações críticas.
Como saber se fui afetado pelo Fortibleed?
Verifique se seu dispositivo aparece em conjuntos de dados expostos públicos ou use ferramentas de varredura para verificar se suas credenciais foram vazadas. Roteie todas as senhas de administrador imediatamente.