O Centro Integrado de Segurança Cibernética do Governo Digital (CISC) classificou como prioridade máxima imediata a correção do BeyondTrust Remote Support, atingido por um zero-day explorado por grupo de espionagem, e a atualização do PAN-OS, firewall com execução remota de código confirmada na interface de gerenciamento. A ordem vale formalmente para os órgãos do SISP, mas o mesmo raciocínio se aplica a qualquer organização que mantenha appliance de suporte remoto self-hosted ou firewall Palo Alto com gerência acessível: aplicar a correção, restringir a gerência a redes confiáveis e caçar indicadores de comprometimento antes de considerar o caso encerrado.
O que o boletim determina
O Boletim de Vulnerabilidades do CISC organiza a semana em três faixas de decisão: ação imediata, curto prazo de sete dias e investigação de comprometimento prévio. No nível mais alto estão o Cisco Secure Email Gateway, o FortiMail e as duas falhas que estruturam esta análise: a CVE-2026-102764 do BeyondTrust Remote Support e a CVE-2026-0322 do PAN-OS. O critério não é o score de CVSS isolado, e sim a combinação de exploração confirmada com presença no catálogo de vulnerabilidades conhecidas e exploradas mantido pela CISA, referência que o boletim adota para temporizar a resposta do serviço público federal brasileiro.
A recomendação central do documento é dupla: corrigir e investigar. Para os itens com exploração registrada, o texto pede caça a web shells, binários e arquivos de configuração alterados, conexões de saída anômalas e logins administrativos atípicos anteriores à correção, além de revisão da exposição das interfaces de gerência na internet. Ferramentas de acesso remoto com privilégio administrativo sobre estações e servidores entram nessa classe de risco: o modelo da CISA para avaliar fornecedores críticos ajuda a explicar por que um appliance desse tipo merece tratamento de ativo crítico, e não de utilitário de TI.
Zero-day no suporte remoto
O advisory BT26-05, publicado pela BeyondTrust em 15/10/2026, descreve uma validação imprópria de origem (CWE-290) em um componente interno de mensagens do Remote Support, produto de suporte remoto herdado do Bomgar. Sob certas condições, um atacante remoto sem autenticação consegue realizar operações de arquivo no appliance. O boletim do CISC registra que a falha CVE-2026-102764, com CVSS 9,3 na escala 4.0, foi explorada como zero-day desde 29/08/2026 em um appliance self-hosted e que o caso entrou no catálogo KEV em 16/10/2026, com data limite de remediação em 19/10/2026 para as agências civis dos Estados Unidos.
A correção existe e é específica: o patch BT26-05-RS cobre as versões 24.3.1 a 26.2.3 instaladas localmente, e instâncias anteriores à 24.3.1 precisam de atualização prévia para recebê-lo. Clientes SaaS foram corrigidos de forma automática em 9 de outubro de 2026. O risco residual está no histórico: o patch elimina a falha, não um comprometimento já instalado. Quem opera versão afetada exposta deve tratar o appliance como potencialmente invadido desde o fim de agosto, preservar logs de rede externos — os locais podem ter sido adulterados — e planejar reconstrução a partir de mídia confiável antes de devolver o serviço.
RCE no gerenciamento do PAN-OS
A CVE-2026-0322, divulgada pela Palo Alto Networks em 14/10/2026, permite que um atacante autenticado, com acesso de rede à interface de gerenciamento do PAN-OS, execute código arbitrário com privilégios de root no firewall. A falha afeta o PAN-OS em firewalls PA-Series e VM-Series e no Panorama, virtual e M-Series; Cloud NGFW e Prisma Access não são impactados. A fabricante classifica a exploração como muito limitada e divulgou três endereços IP associados às tentativas no próprio advisory: 66.42.72[.]14, 208.83.239[.]114 e 149.248.47[.]234.
Não existe workaround documentado. A orientação da fabricante é restringir o acesso à gerência a um jump box como única origem permitida e atualizar o ramo em uso — 12.2.4, 11.2.4-h22 e 10.2.7-h38 estão entre as primeiras versões corrigidas de cada trilha. Assinantes de Threat Prevention contam com cobertura limitada pelas assinaturas Threat ID 510046 e 510047, que exigem descriptografia SSL do tráfego de gerência e não substituem a atualização. O ponto de partida da investigação é direto: buscar os três endereços divulgados nos logs de acesso administrativo e revisar logins atípicos anteriores à correção.
Plano de ação por prioridade
A tabela abaixo consolida as ordens do boletim em uma fila executável, com o critério de decisão explícito: primeiro o que já tem exploração confirmada em campo, depois o que depende de janela de mudança.
| Prioridade | Alvo | Ação |
|---|---|---|
| P1 — imediato | BeyondTrust Remote Support self-hosted | Aplicar o patch BT26-05-RS nas versões 24.3.1 a 26.2.3; anteriores à 24.3.1 exigem atualização prévia; caçar IoCs e reconstruir o appliance em caso de correspondência |
| P1 — imediato | PAN-OS em PA-Series, VM-Series e Panorama | Atualizar para a versão corrigida do ramo; restringir a gerência a jump box; buscar os três IPs divulgados |
| P2 — até 7 dias | Windows, FortiOS, FortiSandbox e FortiSIEM | Aplicar a cumulativa de outubro e os avisos do PSIRT; restringir interfaces de gerência a redes confiáveis |
| P2 — contínuo | Governança de borda | Inventariar interfaces de gerência expostas na internet e reduzir a superfície acessível |
Uma observação de método: o boletim separa explicitamente o que tem exploração observada do que é apenas crítico no papel. Falhas críticas sem exploração registrada, como as duas do pacote Fortinet de 13/10, entram na fila de sete dias; as exploradas vão para a frente da fila independentemente do score. Seguir essa ordem evita gastar a janela de mudança do fim de semana no item errado.
Sinais de comprometimento
Nos dois casos de P1, a aplicação do patch não encerra o atendimento. No BeyondTrust, os indicadores envolvem operações de arquivo inesperadas no appliance, contas e alterações de configuração sem origem aprovada e conexões de saída anômalas — os logs locais podem ter sido apagados pelo invasor, então a correlação deve usar firewall e syslog externos. No PAN-OS, o sinal mínimo é a presença dos três endereços divulgados em acessos à gerência, combinada com contas administrativas usadas fora de horário padrão.
Como ferramenta de suporte remoto concentra credenciais e sessões com privilégio elevado, um comprometimento nesse tipo de ativo costuma virar roubo de identidade em cadeia. Acelerar a revogação de sessões roubadas no diretório corporativo limita o pivô depois que o patch já foi aplicado e deve entrar no runbook de resposta junto com a rotação das credenciais integradas ao appliance. O encerramento formal do incidente exige a reconstrução limpa ou a evidência documentada de ausência de comprometimento, não apenas o green light da atualização.