Alerta de CISA: vulnerabilidades exploráveis em UniFi OS e Lantronix requerem adesivo imediato e medidas de contenção

A Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA (CISA) assinalou uma actividade exploratória activa contra dispositivos de infra-estrutura de rede: especificamente contra sistemas Ubiquiti UniFi OS e servidores serial-to-Ethernet de Lantronix. A combinação de vulnerabilidades críticas e a facilidade de exploração remota fazem deste incidente um risco imediato para organizações de todos os tamanhos..

No caso de Ubiquiti, a CISA incluiu no seu catálogo de vulnerabilidades exploradas (KEV) três falhas que permitem desde saltos de controle de acesso até execução remota de comandos se se encadeem corretamente: CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910. Pesquisadores independentes demonstraram que o encadeamento desses erros pode levar a tomada total do sistema, o que converte controladores e portas de ligação UniFi em vetores para implantaçãos posteriores dentro de uma rede.

Para aqueles que querem verificar a sua exposição técnica, existem referências públicas de cada CVE e ferramentas de detecção: por exemplo, consultar a ficha no NVD para CVE-2026-34908 e suas companheiras, e os pesquisadores de Bishop Fox publicaram um programa de detecção no GitHub que ajuda a localizar instâncias vulneráveis em infraestruturas reais ( Bishop Fox – CVE-2026-34908 check).

A falha de Lantronix (CVE-2025-67038) afeta a série EDS5000 e permite a injeção de comandos com privilégios root através do módulo HTTP RPC, devido à concatenação insegura de dados de usuário em comandos de shell. Lantronix publicou uma correção de firmware e recomenda atualizar para a versão 2.2.0.0R1; a página do fabricante contém a informação da atualização e download ( Lantronix – Firmware EDS5000). A entrada do NVD para este CVE também oferece contexto técnico adicional: CVE-2025-67038 em NVD.

A reacção regulamentar foi rápida: sob a Directiva BOD 26-04 da CISA, as agências federais devem aplicar adesivos ou mitigações disponíveis em prazos muito curtos. Embora essa obrigação seja aplicada a entidades governamentais, a recomendação prática para empresas e administradores é a mesma: sistema transdérmico agora e assumir que as tentativas de exploração continuarão. O guia e o texto da directiva estão disponíveis publicamente no site da CISA ( CISA – BOD 26-04).

Se não for possível corrigir imediatamente, aplique contenções de rede priorizadas: segmente a gestão de UniFi e dispositivos Lantronix fora do acesso público, aplique listas de controle de acesso para limitar IPs de origem, desative a administração remota desnecessária e use VPNs ou túneis autenticados para os gerir. Evitar a exposição direta à Internet de consoles de gestão reduz drasticamente o risco de exploração automatizada.

Além da contenção, faça um inventário urgente: identifique todos os drivers UniFi e gateways, e todas as unidades EDS5000, verifique versões de firmware e registros de acessos recentes. Procure indicadores de compromisso típicos de takeover remoto: processos ou cronjobs novos, contas administrativas criadas, conexões salientes para IPs desconhecidos, e mudanças em arquivos de configuração ou certificados.

Não confie apenas no adesivo: depois de atualizar, valide que as configurações não tenham sido modificadas por um atacante prévio. Rote credenciais administrativas e chaves que possam ter ficado expostas, e restaure configurações críticas desde respaldos verificados se detectar manipulação. O ciclo de adesivo, auditar, e rotar credenciais é tão importante quanto a própria atualização.

Para equipamentos de segurança e operações, torne este alerta em um exercício de detecção e resposta: implantação do programa de Bishop Fox para identificar instâncias expostas, revisão de regras do EDR/IDS para detectar execução de comandos anormais em controladores, e documente procedimentos de recuperação. Se precisar de referências técnicas ou indicadores, as fichas NVD e os avisos do fabricante são bons pontos de partida para construir regras de detecção.

Finalmente, adopte uma postura preventiva a médio prazo: fortaleça processos de gestão de inventário de dispositivos IoT/OT, aplique segmentação e leiast-privilege em arquiteturas de gestão e exija testes de segurança em atualizações de firmware. Os incidentes recentes lembram que os drivers e pontes serial-to-IP são objetivos lucrativos: proteger deve ser uma prioridade operacional, não apenas uma tarefa de adesivo.