Vulnerabilidade crítica em Weaver E-cology permite execução remota de código sem autenticação e já está em exploração

Uma vulnerabilidade crítica em Weaver (também conhecida como Fanwei) E-cology, uma plataforma de automação de escritórios e colaboração empresarial, está sendo explorada ativamente em ambientes reais. O erro, registrado como CVE-2026-22679 e valorizado com uma pontuação CVSS de 9.8, permite execução remota de código sem autenticação em versões 10.0 anteriores à atualização publicada em 12 de março de 2026, aproveitando uma funcionalidade de depuração exposta no endpoint "/papi/esearch/data/devops/dubboApi/debug/method". Para a descrição técnica oficial, consultar a ficha de NVD e o registo do CVE no MITRE: NVD CVE-2026-22679 e MITRE CVE-2026-22679.

O vetor de exploração identificado permite a um atacante enviar pedidos POST manipuladas com parâmetros como interfaceName e methodName para invocar helpers de execução de comandos integrados na API de depuração. Ao ser uma falha sem requisito de autenticação, os atores maliciosos podem comprometer servidores expostos diretamente da Internet, o que aumenta o risco para organizações que tenham instâncias de Weaver acessíveis publicamente ou mal segmentadas.

Pesquisadores de segurança e organizações que monitoram ameaças detectaram atividade de exploração desde datas próximas à correção: alguns relatos colocam os primeiros sinais em 17 de março de 2026, enquanto observações adicionais aparecem a partir de 31 de março. Os padrões de abuso descritos incluem verificação de execução remota, tentativas fracassadas de colocar cargas úteis, uma tentativa de instalação por um MSI nomeado para aparentar ser legítimo ("fanwei0324.msi") e uma breve campanha para recuperar payloads através de PowerShell de infraestrutura controlada pelos atacantes. Ao longo das invasões também foram registrados comandos de reconhecimento básicos como whoami, ipconfig e tasklist.

Do ponto de vista operacional, este incidente ilustra dois riscos recorrentes: primeiro, que as ferramentas e endpoints de depuração deixados ativos em software de produção são convertidas em portas traseiras se não estiverem protegidas; segundo, que as correções publicadas não eliminam automaticamente a janela de exposição porque muitos ambientes corporativos demoram a aplicar adesivos ou não têm controles perimetrales que bloqueiam acessos indesejados.

Se a sua organização utilizar Weaver E-cology, a ação imediata obrigatória é aplicar a atualização oficial publicada em 12 de março de 2026 ou qualquer adesivo posterior que corrija CVE-2026-22679. Além do adesivo, convém aplicar mitigações compensatórias até que toda a frota esteja atualizada: restringir o acesso ao endpoint vulnerável através de regras de firewall ou WAF, bloquear pedidos POST para rotas suspeitas, e limitar o acesso remoto à aplicação apenas a redes internas ou endereços IP autorizados.

Em paralelo à remediação, recomenda-se a realização de atividades de detecção e investigação. Isto inclui a revisão do logs Web e do 'proxy' em busca de pedidos POST dirigidos a "/papi/esearch/data/devops/dubboApi/debug/method" e parâmetros invulgares em interfaceName/methodName, a procura de traços do instalador "fanwei0324.msi" ou outros ficheiros MSI não autorizados, a inspecionar processos e ligações salientes anormais e verificar a presença de webshells ou portas traseiras. Na falta de ferramentas específicas, uma digitalização de acessibilidade do endpoint de fora do seu perímetro permite identificar instâncias expostas que requerem atenção imediata.

Se detectar sinais de compromisso, isole a máquina afetada, preserve registros e volumes para uma análise forense, e considere restabelecer credenciais e rever contas com privilégios. A intervenção coordenada entre equipas de redes, segurança e operações é fundamental para conter o impacto e evitar pivotes internos. É igualmente aconselhável informar o fornecedor e, se for caso disso, as autoridades ou equipamentos de resposta a incidentes para partilhar indicadores e colaborar na contenção.

Para reduzir a probabilidade de surgir vulnerabilidades deste tipo no futuro, adotar medidas estruturais: desativar funções de depuração em ambientes de produção, aplicar segmentação de rede estrita para aplicações administrativas, implantar e manter regras de WAF que bloqueiem rotas de administração expostas e estabelecer procedimentos de adesivo rápido para software crítico. A visibilidade contínua através de monitoramento de integridade, EDR e análise de tráfego web ajuda a detectar atividade suspeita em fases precoces.

O caso de Weaver E-cology é um lembrete de que as plataformas de colaboração empresarial, pela sua natureza crítica e pelo acesso que costumam ter dados corporativos, são objetivos atrativos para atacantes. A combinação de uma vulnerabilidade com exploração ativa exige priorizar a correção e a caça de indicadores nos ambientes próprios para minimizar risco de intrusão e exfiltração.