Quem coloca lado a lado os alertas de segurança do ano de 2025 reconhece um padrão: os atacantes não tentaram mais primordialmente contornar firewalls e gateways VPN – eles assumiram os próprios dispositivos. Zero-days em FortiOS, PAN-OS e Cisco ASA, backdoors em roteadores Juniper, uma invasão no ambiente de desenvolvimento da F5: o perímetro que deveria proteger foi, em 2025, o alvo preferido. Esta retrospectiva enquadra cronologicamente os incidentes mais importantes – com sobriedade, pois aqui não é preciso dramatizar nada. Para empresas de médio porte que operam justamente esses dispositivos na borda da rede, as consequências são concretas.
Janeiro: zero-day da Fortinet e um vazamento antigo
Em 14 de janeiro de 2025, a Fortinet publicou o advisory FG-IR-24-535 sobre a CVE-2024-55591 (CVSS 9,6, segundo o NVD 9,8), um bypass de autenticação em FortiOS e FortiProxy que já vinha sendo explorado ativamente desde meados de novembro de 2024: os atacantes criaram contas de administrador despercebidamente e alteraram grupos de SSL-VPN. A CISA incluiu a falha no catálogo KEV no mesmo dia, o BSI emitiu alerta. Também no mesmo dia, um grupo chamado “Belsen Group” publicou configurações e credenciais de VPN de mais de 15.000 FortiGates – capturadas em 2022 via CVE-2022-40684. Foram assim afetados também dispositivos há muito corrigidos, cujas credenciais antigas nunca haviam sido rotacionadas.
Janeiro: „J-magic“ – a backdoor à escuta
Em 23 de janeiro, a Lumen Black Lotus Labs descreveu uma campanha contra roteadores Juniper em redes corporativas: uma backdoor passiva que aguardava um “Magic Packet” preparado e só então abria uma conexão. A campanha, segundo a avaliação dos pesquisadores, ocorreu aproximadamente de setembro de 2023 a meados de 2024; cerca da metade dos dispositivos afetados servia como gateway VPN. Não há uma CVE, o caminho de infecção original permaneceu sem esclarecimento – um exemplo didático de quão pouca visibilidade costuma existir sobre dispositivos de rede.
Fevereiro: interface de gerenciamento do PAN-OS
Com a CVE-2025-0108, tornou-se público em 12 de fevereiro um bypass de autenticação na interface web de gerenciamento do Palo Alto PAN-OS. Já em 18 de fevereiro confirmou-se a exploração ativa – encadeada com a CVE-2025-0111 e a mais antiga CVE-2024-9474; a CISA incluiu as falhas no catálogo KEV. Vulnerável era, essencialmente, quem tornava a interface de gerenciamento acessível a partir da internet. Justamente isso era – e é – assustadoramente frequente.
Março: UNC3886 em roteadores Juniper
Em 12 de março, a Mandiant documentou uma campanha atribuída por pesquisadores a um ator China-nexus chamado UNC3886: via CVE-2025-21590, a proteção de integridade Veriexec do Junos OS foi contornada e backdoors baseadas em TINYSHELL foram instaladas – predominantemente em roteadores MX que haviam atingido seu end-of-life. A Juniper reagiu com o JSA93446 e um Reference Advisory, a CISA listou a falha em 13 de março no catálogo KEV. Dispositivos antigos na borda da rede não estavam aqui apenas sem patch, mas de fato já não defensáveis.
Abril: persistência que sobrevive ao patch
A Fortinet relatou em abril uma consequência tardia de falhas antigas de SSL-VPN (entre outras CVE-2022-42475, CVE-2023-27997, CVE-2024-21762): os atacantes haviam depositado, em dispositivos comprometidos, um symlink na pasta de arquivos de idioma do SSL-VPN, que permitia acesso de leitura à configuração do dispositivo – e sobreviveu a patches posteriores. As estimativas variavam entre 14.000 e 16.600 dispositivos afetados. Só os builds 7.6.2, 7.4.7, 7.2.11, 7.0.17 e 6.4.16 reconhecem e removem o symlink. A lição: um patch fecha a falha, mas não encerra automaticamente um comprometimento já existente.
Maio: zero-day do FortiVoice
CVE-2025-32756 (CVSS 9,6, advisory FG-IR-25-254 de 13 de maio): um stack overflow com Remote Code Execution, explorado como zero-day contra o FortiVoice – incluindo o apagamento direcionado de rastros de log. Foram afetadas cinco linhas de produtos da Fortinet; a CISA incluiu a falha em 14 de maio no catálogo KEV. O padrão – zero-day, acesso despercebido, eliminação de rastros – correspondeu exatamente ao dos casos de firewall, só que desta vez pela central telefônica.
Junho e julho: Cisco ISE com CVSS 10,0 por três vezes
Em 25 de junho, a Cisco publicou patches para duas falhas de RCE não autenticado no Identity Services Engine (CVE-2025-20281, -20282); em meados de julho seguiu-se, com a CVE-2025-20337, uma terceira – todas avaliadas com o valor máximo CVSS 10,0. Perto do final de julho confirmou-se a exploração ativa; a CISA seguiu em 28 de julho com o registro KEV para duas das três falhas. Não havia workaround, só o patch ajudava. Justamente a instância central para o controle de acesso à rede tornou-se, assim, ela própria o ponto de entrada.
Setembro: a dupla emergência da Cisco
O fim do mês trouxe dois alertas de zero-day no intervalo de dois dias. Primeiro: CVE-2025-20333 (CVSS 9,9) e CVE-2025-20362, encadeadas para a tomada completa de firewalls ASA e FTD, exploradas desde cerca de maio de 2025 – com o malware RayInitiator/LINE VIPER, que sobrevivia a reboots e até a upgrades de firmware. A CISA emitiu a Emergency Directive ED 25-03, o BSI emitiu alerta. Segundo: CVE-2025-20352 (CVSS 7,7), um zero-day de SNMP em IOS/IOS XE, usado na „Operation Zero Disco“ para rootkits em switches Catalyst mais antigos (inclusão no KEV em 29 de setembro).
Outubro: a invasão da F5
Em 15 de outubro, a F5 revelou por meio de uma notificação à SEC que um ator patrocinado por um Estado teve acesso de longo prazo ao ambiente de desenvolvimento do BIG-IP – descoberto já em 9 de agosto, com a divulgação adiada a pedido do Departamento de Justiça dos EUA. Foram subtraídas partes do código-fonte do BIG-IP, informações sobre vulnerabilidades ainda não publicadas, bem como dados de configuração de clientes individuais. No mesmo dia surgiu a notificação trimestral K000156572 com cerca de 44 CVEs; a CISA fixou, com a Emergency Directive ED 26-01, um prazo de patch até 22 de outubro, o NCSC e o BSI (2025-287083-1032) emitiram alerta. O Shadowserver contou cerca de 267.000 interfaces de gerenciamento BIG-IP acessíveis a partir da internet. A atribuição a atores China-nexus, mencionada na imprensa e em pesquisas, a própria F5 não confirmou.
Novembro: FortiWeb, por duas vezes
No início de novembro tornou-se conhecido que a Fortinet havia corrigido silenciosamente, a princípio, uma falha de path traversal ativamente explorada na linha de produtos WAF FortiWeb (CVE-2025-64446), que permitia contornar a autenticação, com a versão 8.0.2 – explorada desde o início de outubro, com contas de administrador não autorizadas em dispositivos expostos à internet; a classificação CVSS oscila conforme a fonte entre 9,1 e 9,8. A CISA listou a falha em 14 de novembro no catálogo KEV. Apenas quatro dias depois seguiu-se, com a CVE-2025-58034, o segundo zero-day do FortiWeb ativamente explorado (inclusão no KEV em 18 de novembro).
Dezembro: FortiCloud-SSO-Bypass
Para o encerramento do ano: CVE-2025-59718 e CVE-2025-59719 (CVSS 9,1 segundo a Fortinet, 9,8 segundo o NVD), um bypass de login no mecanismo FortiCloud SSO, divulgado em 9 de dezembro e ativamente explorado poucos dias depois. Explosivo era um detalhe: o SSO é ativado automaticamente no registro FortiCare, a menos que a marcação seja removida – muitos operadores nem sequer sabiam que essa via de acesso existia em seus dispositivos. Vários CERTs e prestadores de serviços de segurança emitiram alerta em poucos dias.
O que a média empresa deve aprender com isso
Interfaces de gerenciamento jamais pertencem à internet. PAN-OS em fevereiro, FortiWeb em novembro, 267.000 interfaces BIG-IP expostas em outubro – uma parte considerável dos incidentes só funcionou porque os acessos de administração eram publicamente acessíveis. A administração pertence a uma rede de gerenciamento separada ou atrás de uma VPN, com endereços de origem restritos.
Aplicar patches sozinho não basta. O vazamento Belsen atingiu dispositivos corrigidos por meio de credenciais antigas, o symlink da Fortinet e o RayInitiator sobreviveram a atualizações. Quem, após um advisory relevante, apenas aplica patches, mas não verifica nem contas de administrador nem alterações de configuração e não rotaciona credenciais, fecha a porta atrás de um atacante que já está dentro da sala. Necessário é monitoramento contínuo em busca de administradores não autorizados e alterações de configuração inesperadas.
Hardware EOL é um risco de responsabilidade. A campanha UNC3886 rodou predominantemente em roteadores end-of-life, a „Operation Zero Disco“ em switches mais antigos. Dispositivos sem suporte do fabricante não podem mais ser defendidos – sua operação continuada na borda da rede é uma decisão de risco consciente e deveria também ser documentada como tal.
Assume Breach em appliances VPN expostos. Quem opera um gateway SSL-VPN há anos na internet deveria tomar 2025 como ocasião para verificar não apenas o nível de patch, mas um possível comprometimento antigo: contas, configuração, certificados, credenciais. Como se parece um conceito de segurança sólido para isso, descrevemos em Cyber Security e Segurança.
Como a sector7 apoia
Como systemhaus de gestão própria, operamos e endurecemos justamente as plataformas aqui mencionadas – com certificações para Juniper, Cisco, HPE, F5, Fortinet e Palo Alto Networks. Nosso NOC monitora sistemas de clientes 24 horas por dia e reconhece com isso também aquilo que os patches não cobrem: contas de administrador inesperadas, alterações de configuração, comportamento anômalo de dispositivos. Isso é complementado por uma prática de backup Veeam vivenciada e consultoria de compliance em ISO 27001, NIS-2, DORA e TISAX – a preços mensais fixos, no âmbito dos nossos Managed Services.
Fontes
- Fortinet PSIRT, FG-IR-24-535 (CVE-2024-55591): https://fortiguard.fortinet.com/psirt/FG-IR-24-535
- Lumen Black Lotus Labs, „J-magic“: https://www.lumen.com/blog/en-us/j-magic-show-magic-packets
- Palo Alto Networks Security Advisory CVE-2025-0108: https://security.paloaltonetworks.com/CVE-2025-0108
- Juniper Networks, Reference Advisory zur RedPenguin-Kampagne: https://supportportal.juniper.net/s/article/2025-03-Reference-Advisory-The-RedPenguin-Malware-Incident
- Fortinet PSIRT, FG-IR-25-254 (CVE-2025-32756): https://fortiguard.fortinet.com/psirt/FG-IR-25-254
- Cisco Security Advisory, ASA/FTD VPN Web Server (CVE-2025-20362): https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
- CISA Emergency Directive ED 25-03: https://www.cisa.gov/news-events/directives/ed-25-03-identify-and-mitigate-potential-compromise-cisco-devices
- F5, Quarterly Security Notification K000156572: https://my.f5.com/manage/s/article/K000156572
- CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Fortinet PSIRT (FortiWeb- und FortiCloud-SSO-Advisories): https://fortiguard.fortinet.com/psirt