O catálogo KEV da CISA recebeu três falhas críticas em exploração ativa no dia 11 de agosto de 2026, e duas delas tinham prazo de correção vencido em 14/08/2026. As vulnerabilidades atingem o firewall Cisco ASA e FTD, a plataforma de análise de dados Metabase e o driver Windows Ancillary Function Driver para WinSock. A CISA adicionou três vulnerabilidades exploradas ativamente ao KEV em uma única leva, escalando a pressão sobre equipes de segurança que ainda processam edições anteriores do catálogo. O impacto prático é duplo: gateways VPN corporativos que reiniciam sob ataque remoto e ferramentas de dados que entregam credenciais de bancos inteiros a invasores.
O que aconteceu
O Known Exploited Vulnerabilities Catalog é a lista oficial de falhas com exploração confirmada em ataques reais, mantida pela agência americana CISA, e serve como referência de priorização para programas de gestão de vulnerabilidades. Quando um CVE entra na lista, a correção deixa de ser opcional para órgãos federais americanos e passa a ter data marcada. Na leva publicada em 11/08, a falha da Cisco (CVE-2026-20349) e a do Metabase (CVE-2026-72898) receberam três dias de prazo, enquanto a do Windows (CVE-2026-68820) ficou com vencimento em 25 de agosto.
| CVE | Produto | Tipo de falha | Pré-requisito do ataque | Prazo KEV |
|---|---|---|---|---|
| CVE-2026-20349 | Cisco ASA e FTD | DoS por heap inspection (CWE-244) | Nenhuma autenticação | 14/08/2026 |
| CVE-2026-72898 | Metabase | Injeção de SQL (CWE-89) | Nenhuma autenticação | 14/08/2026 |
| CVE-2026-68820 | Windows AFD/WinSock | Use-after-free (CWE-416) | Atacante já autenticado | |
| — | — | — | — | 25/08/2026 |
Cisco ASA e FTD
A falha CVE-2026-20349 atinge o serviço de VPN de acesso remoto dos firewalls Cisco Secure Firewall ASA e FTD, incluindo SSL VPN habilitado por webvpn enable e IKEv2 Remote Access VPN com client services. Segundo a descrição da CISA no catálogo KEV, um atacante remoto sem autenticação pode provocar o reload inesperado do equipamento, gerando condição de negação de serviço que derruba o acesso remoto de toda a organização. A classificação técnica é CWE-244, limpeza imprópria da memória heap antes da liberação.
A Cisco publicou advisory próprio em 11/08 com hotfixes dedicados para cada ramo de software, de ASA 9.16 até FTD 10.0, e o NVD já registrou análise inicial do caso. Para o passo a passo de aplicação dos hotfixes e mitigações intermediárias, vale conferir a cobertura detalhada em Cisco ASA e FTD: VPN sob ataque exige hotfix imediato.
Metabase: injeção de SQL
No Metabase, a CVE-2026-72898 é uma injeção de SQL que atinge o banco de dados da própria aplicação sem exigir autenticação. Com o acesso, o atacante obtém acesso de administrador à instância, altera a configuração da aplicação, rouba credenciais armazenadas das bases conectadas e exporta dados. O registro do NVD lista os avisos do fabricante, incluindo o GitHub Security Advisory GHSA-vwf4-m7j8-wcjf e a nota oficial da empresa em metabase.com.
O cenário de risco é particularmente grave em ambientes de analytics: a ferramenta concentra credenciais de múltiplos bancos de dados, o que transforma uma única instância exposta na internet em porta de entrada para todo o parque de dados. O levantamento de indicadores de comprometimento e o fluxo de resposta estão descritos no guia Metabase CVE-2026-72898: como detectar e responder ao ataque.
Windows: escalada local
A CVE-2026-68820 é uma falha de use-after-free no driver Windows Ancillary Function Driver para WinSock que permite que um atacante já autenticado eleve privilégios localmente no sistema operacional. O NVD lista como afetadas versões do Windows 10 a partir do build 1607, Windows 11 até 26H1 e Windows Server de 2012 a 2025, com correção disponível no guia de atualização do MSRC.
Embora exija uma sessão válida como ponto de partida, o vetor importa em qualquer cenário com estações compartilhadas, multiponto de atendimento ou ambientes já comprometidos por malware de primeiro estágio, que usam escaladas locais como degrau para obter SYSTEM.
Como priorizar as correções
A ordem de ataque recomendada para esta leva do KEV segue três critérios: exposição à internet, ausência de autenticação e prazo vencido. A sequência prática fica assim:
- Levantar todas as instâncias de Cisco ASA e FTD com SSL VPN ou IKEv2 Remote Access VPN habilitados e aplicar o hotfix do ramo correspondente, priorizando equipamentos com interface voltada à internet.
- Localizar instalações Metabase expostas, atualizar para a versão corrigida e rodar verificação de sessões administrativas inesperadas, alterações de configuração e consultas anômalas ao banco interno.
- Distribuir a atualização de segurança de agosto do Windows pelo menos até 25 de agosto, observando os builds corrigidos listados no MSRC para cada versão de sistema.
- Registrar no processo de gestão de vulnerabilidades a evidência de aplicação de cada correção, exigida pela diretriz BOD 26-04 da CISA para ambientes sujeitos à regra.
- Incluir os três CVEs no monitoramento contínuo de telemetry dos próximos 30 dias, com foco em reloads inesperados de firewall, queries fora do padrão no Metabase e criação de processos SYSTEM em estações.
Com dois prazos já encerrados em 14/08, a janela de reação desta leva é uma das mais curtas do ano. Tratar a fila do KEV como fluxo diário, e não como evento mensal, é o que separa a correção planejada do incidente.