CISA inclui Check Point, F5 e Arista no KEV: patch até 25/9
A CISA adicionou quatro CVEs ao catálogo Known Exploited Vulnerabilities (KEV) em 22 de setembro, todas já sob exploração ativa: duas no Check Point (CVE-2026-85102 e CVE-2026-93616), uma no F5 BIG-IP APM (CVE-2026-94127, CVSS 9.8) e uma no Arista VeloCloud Orchestrator (CVE-2026-93952, CVSS 10.0). Agências federais dos EUA têm até 25 de setembro para corrigir; para quem opera firewall, VPN ou SD-WAN, o prazo prático é o mesmo.
Check Point: duas falhas, dois vetores diferentes
A CVE-2026-85102 é uma falha pré-autenticação no tratamento de certificados VPN dos Security Gateway, presente nos firewalls Spark (gerenciados local ou centralmente). O Check Point corrigiu em 9 de setembro, mas a partir de 12 de setembro passou a registrar tentativas de exploração vindas de infraestrutura de anonimização — VPNs e proxies.
A CVE-2026-93616 atinge o serviço web de gerenciamento (Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server e SmartEvent): um path traversal pré-autenticação que permite executar script de um caminho arbitrário e carregar classe Java arbitrária. O Check Point confirma exploração desde 23 de julho e liberou correção emergencial em 22 de setembro.
F5 BIG-IP APM: RCE sem autenticação via OAuth
A CVE-2026-94127 é um heap-based buffer overflow (CWE-122, CVSS 9.8) na lógica de tratamento de perfil OAuth do BIG-IP APM. Em virtual servers com política de acesso APM e perfil OAuth configurados, tráfego malicioso sobrescreve memória adjacente ao heap e pode alterar o fluxo de execução dentro do TMM — o que resulta em execução remota de código sem autenticação. O vetor está no plano de dados, não na interface de gerenciamento, o que amplia a superfície de rede exposta. O F5 já publicou hotfixes e disponibiliza uma iRule de emergência para quem não consegue atualizar de imediato.
Arista VeloCloud Orchestrator: acesso privilegiado sem login
A CVE-2026-93952 (CVSS 10.0) é uma falha de validação de entrada no VeloCloud Orchestrator (VCO) on-premises. Um atacante remoto sem credenciais alcança funcionalidade interna privilegiada, com risco à confidencialidade, integridade e disponibilidade do orquestrador — e, por extensão, aos VeloCloud Edges gerenciados por ele. A exploração exige acesso de rede à interface web e a parte pública do certificado de autenticação de um Edge, cenário típico em implantações com autenticação por certificado.
Versões afetadas: 5.2.0 a 5.2.3.15, 6.1.0 a 6.1.3.7, 6.4.0 a 6.4.2.7 e 7.0.0 a 7.0.0.2. A correção chegou nas versões 5.2.3.16 e 6.4.2.8; as instâncias hospedadas (incluindo Dedicated) já foram corrigidas pela Arista.
O que fazer agora
- Check Point Spark: confirme se já aplicou a correção de 9/9 para a CVE-2026-85102; se não, trate como incidente em andamento, não como rotina de patch.
- Check Point Management Server / Multi-Domain / Log Server / SmartEvent: aplique a correção de 22/9 para a CVE-2026-93616 e revise logs desde 23 de julho.
- F5 BIG-IP com APM: atualize para a versão corrigida ou aplique a iRule de emergência do K000162605 em virtual servers com OAuth profile configurado.
- Arista VeloCloud Orchestrator on-prem: atualize para 5.2.3.16 ou 6.4.2.8 (conforme o trem de versão); se usa autenticação por certificado entre Edge e VCO, priorize.
Perguntas frequentes
Isso afeta só órgãos federais dos EUA?
Não. O prazo de 25/9 é uma obrigação da diretiva BOD 22-01 para agências federais americanas, mas a exploração ativa vale para qualquer operador desses produtos, em qualquer país.
Preciso corrigir os quatro CVEs com a mesma urgência?
Priorize pelo que está exposto: se você não usa OAuth profile no APM ou autenticação por certificado no VCO, o risco imediato cai, mas a correção ainda deve entrar no ciclo mais próximo.
Como sei se já fui alvo de exploração?
Cada fabricante publicou indicadores nos boletins oficiais (K000162605 para F5, o blog de segurança do Check Point e o aviso 0183 da Arista); cruze logs de acesso e VPN com esses IoCs antes de assumir que está limpo.
Conclusão
Quatro fabricantes de infraestrutura crítica de rede — dois deles usados lado a lado em muitos ambientes — tiveram falhas exploradas ativamente na mesma semana. Trate a atualização como prioridade de operação, não de backlog: confirme a versão instalada, aplique a correção ou a mitigação temporária, e audite acesso desde as datas de início da exploração informadas por cada fabricante.
