CISA adiciona dois CVEs ao catálogo KEV

A CISA adicionou ao catálogo Known Exploited Vulnerabilities, KEV, duas falhas com evidência de exploração ativa: CVE-2026-41709, uma vulnerabilidade de logging insuficiente em Broadcom VMware ESX, e CVE-2026-46300, uma vulnerabilidade no kernel Linux associada à falta de inicialização de uma variável. Ao mesmo tempo, o órgão estabeleceu prazos de remediação para agências federais civis dos Estados Unidos e incluiu exigências de resposta para a CVE-2026-41709.

¿O que a CISA exige para a CVE-2026-41709?

A CISA definiu 11 de novembro de 2026 como data de remediação para as agências federais civis dos Estados Unidos. Além disso, o registro oficial vincula essa CVE à aplicação de mitigação conforme as instruções do fabricante, à avaliação da exposição de cada ativo à internet e ao cumprimento das diretrizes BOD 26-04 e de triaje forense.

Aviatrix descreveu a CVE-2026-41709 como uma falha que permite a um ator malicioso com privilégios administrativos executar determinadas operações em ESX sem gerar entradas de auditoria. A mesma cobertura atribuiu a exploração ao Warp Panda, grupo vinculado à China, e afirmou que ela foi usada como zero-day para reduzir a visibilidade dos registros de auditoria. Essa atribuição deve ser lida como informação reportada pela Aviatrix, não como confirmação independente.

A Rescana, por sua vez, classificou a falha como de baixa severidade, exigindo acesso administrativo prévio e sem implicar execução de código sem autenticação. Essa descrição se encaixa mais em uma quebra de rastreabilidade do ambiente do que em um comprometimento remoto direto.

¿O que se sabe sobre a CVE-2026-46300?

A CISA fixou 31 de outubro de 2026 como prazo final de remediação para a CVE-2026-46300 nas agências federais civis dos Estados Unidos. A entrada no KEV descreve a falha como um problema no kernel Linux ligado ao tratamento de fragmentos compartilhados em buffers de sockets e indica que, sob condições específicas, o processamento de entradas ESP pode alterar dados respaldados pelo cache de páginas.

A Help Net Security identificou a falha como "Fragnesia" e informou que ela foi divulgada em maio de 2026. A cobertura também a relacionou aos requisitos de triaje forense sob a BOD 26-04, em linha com o tratamento dado pela CISA no KEV.

A Brandefense acrescentou contexto técnico ao apontar que a exploração da CVE-2026-46300 pode ser combinada com vulnerabilidades PHP2Shell para obter execução de comandos como root e implantar webshells PHP. Essa relação, conforme relatado pela fonte, deve ser entendida como um cenário de encadeamento técnico, não como um alcance universal da vulnerabilidade.

¿Há um impacto regional confirmado?

Não há impacto regional latino-americano confirmado no material revisado. A cobertura disponível se concentra no registro da CISA, nos prazos de remediação para agências federais dos Estados Unidos e no contexto técnico sobre a exploração ativa das duas CVEs.