Vulnerabilidades críticas e exploração ativa, Setembro 2026

Ameaças e campanhas ativas

Ransomware e extorsão

O material de setembro só permitiu identificar um caso com ransomware ou extorsão como eixo principal, mas a fonte não especificou se houve criptografia de ativos, exfiltração sem criptografia ou apenas menção em um leak site. Essa falta de detalhe impede elevar o caso a uma tipologia mais precisa e obriga a tratá-lo como sinal incompleto, não como um padrão geral do mês.

Em termos de leitura operacional, isso importa porque a categoria única de ransomware pode esconder impactos muito distintos. Não é o mesmo perder a disponibilidade de sistemas e enfrentar uma extorsão por dados sem criptografia. Como o corpus não permite separar esses cenários, a análise do mês se concentra em vulnerabilidades exploradas e não em uma onda de ransomware propriamente dita.

Fraude e phishing

O corpus registrou 9 casos de fraude ou phishing documentados, abaixo dos 30 do mês anterior. A queda não significa desaparecimento do problema, mas confirma que, em setembro, o centro de gravidade se moveu para a exploração técnica de vulnerabilidades e campanhas sobre infraestrutura crítica. O caso mais visível foi a Recomendação 17/2026 do CTIR Gov sobre SEO poisoning em sites .gov.br.

Essa campanha merece atenção porque não se limitou ao phishing clássico. O material descreve cloaking contra robôs de busca, injeção de links para apostas e cassinos ilegais, e a necessidade de redefinir credenciais de banco de dados, API, certificados e painéis administrativos. Em outras palavras, a fraude conviveu com um componente de intrusão e manipulação de sites governamentais.

APT, intrusão persistente e abuso de infraestrutura

Não houve um caso que o material identifique como APT clássica com atribuição sólida a um grupo persistente, mas houve campanhas com traços de persistência, abuso de infraestrutura e controle encoberto. MikroTrick em MikroTik, o SEO poisoning em .gov.br e o abuso de ferramentas de acesso remoto como ScreenConnect se encaixam nessa categoria ampla de campanhas que priorizam a continuidade operacional do atacante.

Também aparece um vetor de infraestrutura difícil de neutralizar, como a atualização da infraestrutura de comando e controle da KREMLIN por meio de contratos inteligentes de Ethereum. O próprio material esclarece que KREMLIN não tem CVE nem entrada no KEV, portanto não deve ser confundido com uma vulnerabilidade explorada. Ainda assim, serve como sinal de campanhas que buscam resiliência operacional e evasão de bloqueio.

Vulnerabilidades críticas

A tabela a seguir consolida os CVEs e o status de exploração ou priorização que aparecem no material analisado. Não inclui os casos sem identificador exato, embora eles sejam mencionados em prosa nas seções anteriores.

O universo de CVEs críticos não se esgota nesses identificadores. O material também menciona falhas em Cisco Identity Services Engine, Cisco Secure Email Gateway, NGINX, 7-Zip e WSO2, mas sem uma lista uniforme de exploração ativa comparável ao bloco principal anterior. Por isso, esta tabela prioriza apenas os casos em que a vinculação com exploração, KEV ou alerta oficial está explicitamente respaldada.

Regulação e conformidade

Setembro não registrou movimentos regulatórios formais no sentido estrito da métrica, mas houve intensa atividade de resposta institucional. CTIR Gov e CISC emitiram alertas e boletins, o ECUCERT publicou um alerta específico, e o INCIBE-CERT divulgou avisos sobre GitLab e outras aplicações. Na prática, o mês se pareceu mais com um ciclo acelerado de conformidade operacional do que com uma mudança normativa.

No Brasil, a resposta incluiu alertas, boletins e recomendações técnicas com detalhes concretos de remediação. A Recomendação 17/2026 pediu a desindexação de rotas, a redefinição de credenciais e o reporte de atividade anômala. Os alertas sobre Adobe Commerce, Fortinet, SonicWall e Cisco Identity Services Engine seguem a mesma lógica: priorizar a remediação, revisar a exposição e, em alguns casos, tratar o incidente como possível comprometimento.

Esse tipo de documento não cria uma nova regra legal, mas funciona como padrão de fato para equipes estatais e fornecedores que trabalham com governo. Na América Latina, onde os órgãos nacionais de resposta costumam orientar múltiplos setores, esses avisos têm peso prático semelhante ao de uma circular de conformidade, embora sua natureza continue técnica.

Países mais afetados na América Latina

Brasil

O Brasil concentrou a maior quantidade de sinal verificável do mês. O CTIR Gov emitiu alertas sobre SonicWall SMA1000, Adobe Commerce e Magento, Fortinet, Cisco Identity Services Engine e GitLab, além de uma recomendação sobre SEO poisoning em sites .gov.br. A CISC, por sua vez, publicou boletins com vulnerabilidades de Microsoft, Fortinet, Commvault, Check Point, NGINX e 7-Zip.

A leitura brasileira tem duas camadas. A primeira é de priorização técnica, porque boa parte do material está orientada a patching e a catálogos KEV. A segunda é de superfície exposta, porque vários fatos atingem serviços cloud, repositórios automáticos, administração remota e sites públicos do governo. O resultado é um sinal de alto risco para órgãos públicos, provedores e empresas com infraestrutura híbrida.

Equador

O Equador trouxe um alerta específico e de alto valor operacional sobre MikroTik RouterOS explorado ativamente. A ECUCERT não apenas nomeou os CVEs, como enquadrou o problema como exploração ativa, o que obriga a tratar roteadores expostos como ativos possivelmente comprometidos, e não como simples equipamentos a atualizar quando possível.

Isso é especialmente relevante para provedores de conectividade, PMEs e redes de borda. Em ambientes em que MikroTik cumpre funções de roteador, firewall ou concentrador de acesso, a exploração ativa pode abrir caminho para persistência, redirecionamento de tráfego ou salto para segmentos internos. O alerta equatoriano se alinha ao restante do ecossistema técnico internacional e reforça a urgência da revisão.

México

O México aparece no material principalmente pelo ângulo de aplicações web, cloud e exposição de serviços. A cobertura da Ciberseguridad LATAM menciona que, no Brasil e no México, setores como pagamentos digitais e saúde digital operam aplicações integradas com AWS, Azure e Google Cloud, com repositórios GitHub ou GitLab configurados para implantação automática sem revisão manual. Isso não é um incidente mexicano concreto, mas é um quadro útil para ler o risco local.

Para este informe, o México também figura por referências a empresas e serviços do mercado regional em que a superfície de ataque depende de integrações automatizadas e repositórios conectados à produção. O material disponível não permite afirmar uma concentração de incidentes no país, mas sugere uma exposição comparável à de outros mercados da região que dependem de DevOps e cloud.

Colômbia

A Colômbia entra no corpus principalmente pelos fatos não tipificados e pelos casos de incidentes em serviços digitais, embora o material analisado não traga um caso de vulnerabilidade crítica explorada ali com a mesma densidade que no Brasil ou no Equador. A falta de sinal forte não deve ser lida como ausência de risco, mas como limite do corpus disponível para o mês.

O caso do ICETEX, embora fora desta vertical temática por ser um incidente de segurança de um fornecedor, reforça a dependência regional de terceiros e serviços externos. Em uma leitura de vulnerabilidades críticas, isso importa porque muitas explorações acabam impactando organizações que não controlam diretamente a infraestrutura comprometida.

Paraguai

O Paraguai aparece sobretudo pela atividade do CERT.PY e pelo contexto de boletins regionais. No material fornecido há alertas sobre MISP e complementos de WordPress, mas sem data confirmada, por isso não entram nos indicadores do mês. Ainda assim, mostram interesse institucional por superfícies comuns de ataque que costumam ser relevantes para organizações de porte médio.

Na comparação regional, o Paraguai não concentra incidentes verificáveis da mesma magnitude que o Brasil ou o Equador. Isso não reduz a utilidade de seus alertas, mas limita a capacidade de traçar uma narrativa de exploração ativa com volume suficiente para este informe. O sinal é de vigilância, não de prevalência.

Argentina

Não houve fatos verificáveis suficientes no material para construir uma leitura específica da Argentina dentro desta vertical. Isso não implica ausência de exposição a vulnerabilidades críticas, apenas que o corpus de setembro não trouxe um caso com data confirmada e alcance comparável aos do Brasil ou do Equador.

Chile

Também não foram registrados fatos verificáveis suficientes para o Chile no corpus analisado de setembro dentro desta temática. O material disponível não permite afirmar uma tendência por país, embora isso não exclua exposição aos mesmos produtos e cadeias de exploração observados em outros mercados da região.

Peru

Não houve fatos verificáveis suficientes para o Peru no período analisado. O informe não atribui essa ausência a um menor risco real, apenas à cobertura concreta do material recebido.

Bolívia

Não foram registrados fatos verificáveis suficientes para a Bolívia no material de setembro. O sinal regional que aparece, sobretudo em appliances de borda e software de administração, é igualmente relevante para ambientes bolivianos, mas não pode ser documentado aqui com um caso local concreto.

Estados Unidos

Embora não faça parte da América Latina, aparece como referência de fundo em quase todos os processos de priorização por CISA KEV. As datas-limite para órgãos federais dos Estados Unidos, como 14 ou 27 de setembro, ajudaram a marcar a urgência de remediação para vendors e CERTs regionais. No informe, ele é usado apenas como marco comparativo de exploração ativa e remediação.

Tendências e sinais a monitorar

A comparação com o mês anterior mostra uma queda acentuada do volume total, de 344 para 177 fatos verificados, e uma redução de 83 para 43 CVEs críticos mencionados. Ainda assim, a sinalização operacional não arrefeceu na mesma proporção, porque a ameaça predominante continuou sendo vulnerabilidades, e vários casos foram confirmados como exploração ativa por múltiplas fontes.

No mês anterior, agosto, o cenário veio carregado por um volume maior e por vários casos de alto impacto em infraestrutura. Setembro teve menos ruído, mas trouxe uma qualidade de sinal mais voltada para remediação urgente e priorização de ativos expostos. Isso costuma ocorrer quando o ecossistema passa de um ciclo de divulgação massiva para outro de exploração confirmada e resposta institucional.

A primeira sinalização a monitorar é a persistência de cadeias multi-CVE em equipamentos de borda. SonicWall SMA1000 e MikroTik RouterOS mostram que os atacantes seguem buscando combinações de bypass, SSRF, injeção de comandos e escalada de privilégios. Quando essas falhas se combinam, o atacante não precisa de um vetor adicional sofisticado para sair do acesso inicial e assumir o controle do equipamento.

A segunda sinalização é a pressão sobre plataformas de desenvolvimento e implantação. O GitLab deixou claro que os ambientes self-managed seguem sendo um alvo de alto valor, porque concentram segredos, pipelines, credenciais de serviço e automação. Na região, onde muitas empresas e órgãos usam o GitLab como coluna vertebral de entrega, isso obriga a revisar não só versões, mas também exposição, permissões e rastreabilidade de imports ou CI/CD.

A terceira sinalização é que os boletins regionais já não se limitam a software on-prem. Fortinet, Commvault Cloud, FortiSandbox Cloud, Microsoft e outros exemplos mostram uma mudança para serviços cloud e híbridos. Isso exige que as equipes latino-americanas integrem a remediação local com controle de identidade, credenciais, pipelines e sessões. Se a análise considerar apenas o appliance, parte do risco fica de fora.

Recomendações para equipes de segurança

Primeiro, priorizar patches e a revisão de comprometimento nos ativos que apareceram no KEV ou em alertas oficiais durante o mês. Isso inclui SonicWall SMA1000, GitLab self-managed, ConnectWise ScreenConnect, Adobe Commerce e Magento, MikroTik RouterOS e os produtos Fortinet citados em boletins oficiais. Nesses casos, não basta aplicar a atualização, porque várias fontes pediram revisão de contas, agentes, sessões e evidências forenses.

Segundo, revisar a exposição direta à internet de ferramentas de administração, repositórios e portais de suporte. Se GitLab, ScreenConnect, appliances de acesso remoto ou interfaces de administração estiverem expostos, a prioridade deve subir imediatamente. O risco não está só na vulnerabilidade, mas na combinação entre acesso público, credenciais reutilizadas e automação de implantação ou suporte.

Terceiro, reforçar o monitoramento de credenciais e segredos. A exploração do GitLab, o SEO poisoning em .gov.br e o abuso de ferramentas remotas mostram que uma intrusão pode terminar em roubo de tokens, chaves de API, certificados e senhas de painéis administrativos. Rotacionar credenciais sem revisar o alcance da exposição pode deixar persistência ativa.

Quarto, incorporar busca de comprometimento após a aplicação do patch. Em SonicWall, ConnectWise e Fortinet, o material insiste que o patch não encerra automaticamente o incidente. É preciso revisar logs, mudanças de configuração, sessões ativas, contas ocultas, regras de acesso e artefatos de persistência. Isso vale especialmente para dispositivos de borda e plataformas de suporte remoto.

Quinto, tratar appliances de rede e segurança como ativos de alta criticidade operacional. MikroTik e SonicWall mostram que a borda da rede segue como alvo principal, e que um roteador ou gateway comprometido pode ter efeito mais amplo que uma estação isolada. O plano de resposta deve incluir reinicialização segura, restauração a partir de uma configuração conhecida e validação de integridade.

Sexto, alinhar a priorização regional com boletins de CERT e CSIRT oficiais. Na América Latina, CTIR Gov, CISC e ECUCERT atuaram como amplificadores de urgência e contextualização local. Quando esses órgãos emitem alertas sobre um CVE, a organização deve traduzi-lo em uma ação interna com responsável, prazo e evidência de encerramento. Caso contrário, o alerta vira apenas leitura informativa, e não controle.

Perguntas frequentes

Quais países concentraram o sinal mais forte do mês e por quê?

Brasil e Equador concentraram o sinal mais claro. O Brasil acumulou alertas oficiais sobre SonicWall, Adobe, Fortinet, GitLab e campanhas ativas em sites .gov.br. O Equador, por sua vez, emitiu um alerta específico sobre MikroTik RouterOS explorado ativamente. Os demais países tiveram cobertura mais dispersa ou sem data confirmada.

Qual é a diferença entre o material do Brasil e o do Equador?

O Brasil combinou boletins, recomendações e campanhas ativas com vários vendors, além de alertas sobre SEO poisoning e cloud. O Equador teve um caso mais focado, mas muito claro, sobre MikroTik RouterOS com exploração ativa confirmada. A diferença está na amplitude no Brasil e na precisão operacional no Equador.

O que mudou entre agosto e setembro nas vulnerabilidades críticas?

Caiu o volume total de fatos verificados e também o número de CVEs críticos mencionados. Ainda assim, a ameaça principal seguiu sendo vulnerabilidades, e vários casos continuaram confirmados como exploração ativa. Em agosto houve mais ruído; em setembro, menos volume e mais concentração em remediação e priorização.

Quais produtos os times latino-americanos devem revisar primeiro?

Devem revisar primeiro SonicWall SMA1000, GitLab self-managed, ConnectWise ScreenConnect, Adobe Commerce e Magento, Fortinet, MikroTik RouterOS e, onde aplicável, Cisco Identity Services Engine. A prioridade vem da combinação entre exploração ativa, presença em KEV e uso amplo em infraestrutura regional.

O relatório registrou ransomware como tendência principal?

Não. Só apareceu um caso com ransomware ou extorsão como eixo primário, mas o material não especificou se houve criptografia, exfiltração sem criptografia ou mera menção em um leak site. A tendência principal do mês foi claramente vulnerabilidades, não extorsão. A seção de ameaças e campanhas ativas detalha isso com mais precisão.

Quais alertas oficiais os times de governo devem ler primeiro?

No Brasil, os alertas do CTIR Gov sobre SonicWall, Adobe Commerce, Fortinet, GitLab e a Recomendação 17/2026 sobre SEO poisoning. No Equador, o alerta do ECUCERT sobre MikroTik RouterOS. Esses documentos cruzam exploração ativa, impacto operacional e ações concretas de mitigação.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para setembro de 2026 e com o quadro comparativo dos meses anteriores incluído no arquivo. Não houve acesso à internet nem a fontes fora da lista autorizada. Por isso, várias menções técnicas ficam limitadas ao que cada fonte descreveu, sem verificação independente adicional.

A janela temporal dos indicadores foi baseada em 178 fatos com data em setembro de 2026, 13 fatos de meses anteriores usados apenas como contexto comparativo e 2 fatos sem data confirmada excluídos dos indicadores. Os fatos sem data confirmada, como os avisos do CERT.gov.py sobre MISP e complementos do WordPress, podem ser usados como contexto qualitativo, mas não fazem parte do volume do mês.

Um indicador em zero significa que ele não apareceu no material analisado de setembro, não que o fenômeno não tenha ocorrido na região. Isso vale em particular para movimentos regulatórios e para o detalhamento de algumas categorias. Também vale para CVEs: se o material não registra certo caso, isso não elimina a possibilidade de ele ter existido fora do corpus disponível.

A telemetria agregada foi tratada separadamente e não foi somada aos incidentes. Neste relatório, ela só é mencionada como referência pontual quando a fonte esclarece que se trata de tentativas ou bloqueios automatizados, e não de intrusões confirmadas. Também não foram usados como evidência de tendência conteúdo patrocinado, redes sociais de consumo nem publicações fora da lista de fontes disponíveis.

Os países sem fatos verificáveis suficientes, ou com material insuficiente para sustentar uma leitura local, foram deixados fora de afirmações de volume. Isso não equivale à ausência de risco, apenas a uma limitação de cobertura documental no período.