CISA KEV: seis novas vulnerabilidades ativamente exploradas - NetScaler, Linux e SQL Server em alerta

A CISA acaba de adicionar seis novas entradas ao seu catálogo KEV (Known Exploited Vulnerabilities). No menu: vulnerabilidades no NetScaler (Citrix), no núcleo do Linux e no Microsoft SQL Server - todas ativamente exploradas em condições reais.

O que: seis vulnerabilidades confirmadas exploradas em produção

A CISA (Cybersecurity and Infrastructure Security Agency) atualizou seu catálogo KEV (Known Exploited Vulnerabilities) com seis novas entradas. O KEV é a lista oficial do governo dos EUA das vulnerabilidades para as quais explorações reais foram documentadas — é a lista que aciona obrigações de correção para as agências federais americanas e o sinal de prioridade máxima para todo o setor.

As três famílias de produtos afetadas nesta atualização, segundo o The Hacker News: NetScaler (Citrix), o núcleo Linux e o Microsoft SQL Server.

Quem é afetado

• NetScaler (Citrix ADC / Gateway): expostos na internet na maioria das empresas que usam Citrix para VPN e acesso remoto. O NetScaler é um alvo recorrente do KEV — grupos de ransomware o utilizam como ponto de entrada privilegiado desde 2023.
• Linux kernel: qualquer infraestrutura de servidor Linux não corrigida está potencialmente em risco. A natureza exata das vulnerabilidades (LPE, RCE, bypass de sandbox) determinará a prioridade de correção de acordo com a exposição.
• SQL Server: instâncias do SQL Server expostas ou acessíveis a partir de segmentos de rede comprometidos estão em risco. Uma vulnerabilidade do SQL Server no KEV geralmente está relacionada a cenários de movimentação lateral pós-exploração.

Contexto: o KEV como termômetro da ameaça ativa

No acompanhamento das infraestruturas críticas americanas que realizamos desde o início de 2026, o KEV é o indicador mais confiável do que está sendo realmente explorado — em oposição às CVE teóricas. Cada adição ao KEV representa incidentes documentados, muitas vezes em alvos sensíveis.

Desde o lançamento de nossa série [cisa-infra-critique-2026], observamos uma cadência de adições ao KEV particularmente acelerada, com predominância de vulnerabilidades que visam o acesso remoto (VPN, RDP, balanceadores de carga) e a camada de hipervisor/virtualização.

O que fazer agora

Ações imediatas:

1. NetScaler: aplicar imediatamente os boletins de segurança da Citrix correspondentes. Verificar os logs de acesso para padrões de exploração anormais nos endpoints de autenticação e VPN.
2. Linux kernel: identificar a versão exata da vulnerabilidade por meio do advisory atualizado da CISA, comparar com os kernels em produção e priorizar os sistemas expostos à internet ou multi-inquilinos.
3. SQL Server: restringir o acesso à porta 1433 apenas aos segmentos de rede autorizados, aplicar o patch da Microsoft correspondente e auditar as contas de serviço do SQL Server para detectar comprometimentos prévios.
4. Setor público/federal: as agências americanas têm obrigação de aplicar correções dentro dos prazos especificados pela CISA para cada entrada do KEV.