Quem coloca lado a lado os alertas de segurança do ano de 2025 reconhece um padrão: os atacantes já não tentaram primordialmente contornar firewalls e gateways VPN – apoderaram-se dos próprios dispositivos. Zero-days em FortiOS, PAN-OS e Cisco ASA, backdoors em routers Juniper, uma intrusão no ambiente de desenvolvimento da F5: o perímetro que deveria proteger foi, em 2025, o alvo preferido. Esta retrospetiva enquadra cronologicamente os incidentes mais importantes – com sobriedade, pois aqui não é preciso dramatizar nada. Para as empresas de média dimensão que operam precisamente estes dispositivos no limite da rede, as consequências são concretas.
Janeiro: zero-day da Fortinet e uma fuga antiga
A 14 de janeiro de 2025, a Fortinet publicou o advisory FG-IR-24-535 sobre a CVE-2024-55591 (CVSS 9,6, segundo o NVD 9,8), um bypass de autenticação em FortiOS e FortiProxy que já vinha a ser explorado ativamente desde meados de novembro de 2024: os atacantes criaram contas de administrador sem serem detetados e alteraram grupos de SSL-VPN. A CISA incluiu a falha no catálogo KEV no mesmo dia, o BSI emitiu um alerta. Também no mesmo dia, um grupo chamado «Belsen Group» publicou configurações e credenciais de VPN de mais de 15.000 FortiGates – obtidas em 2022 através da CVE-2022-40684. Foram assim afetados também dispositivos há muito corrigidos, cujas credenciais antigas nunca tinham sido renovadas.
Janeiro: «J-magic» – a backdoor à escuta
A 23 de janeiro, a Lumen Black Lotus Labs descreveu uma campanha contra routers Juniper em redes empresariais: uma backdoor passiva que aguardava um «Magic Packet» preparado e só então abria uma ligação. A campanha, segundo a avaliação dos investigadores, decorreu aproximadamente de setembro de 2023 a meados de 2024; cerca de metade dos dispositivos afetados servia como gateway VPN. Não há uma CVE, o caminho de infeção original ficou por esclarecer – um exemplo didático de quão pouca visibilidade costuma existir sobre dispositivos de rede.
Fevereiro: interface de gestão do PAN-OS
Com a CVE-2025-0108, tornou-se público a 12 de fevereiro um bypass de autenticação na interface web de gestão do Palo Alto PAN-OS. Logo a 18 de fevereiro confirmou-se a exploração ativa – encadeada com a CVE-2025-0111 e a mais antiga CVE-2024-9474; a CISA incluiu as falhas no catálogo KEV. Vulnerável era, essencialmente, quem tornava a interface de gestão acessível a partir da internet. Precisamente isso era – e é – assustadoramente frequente.
Março: UNC3886 em routers Juniper
A 12 de março, a Mandiant documentou uma campanha atribuída por investigadores a um ator China-nexus chamado UNC3886: através da CVE-2025-21590, a proteção de integridade Veriexec do Junos OS foi contornada e foram instaladas backdoors baseadas em TINYSHELL – predominantemente em routers MX que tinham atingido o seu end-of-life. A Juniper reagiu com o JSA93446 e um Reference Advisory, a CISA listou a falha a 13 de março no catálogo KEV. Dispositivos antigos no limite da rede não estavam aqui apenas sem patch, mas de facto já não eram defensáveis.
Abril: persistência que sobrevive ao patch
A Fortinet relatou em abril uma consequência tardia de falhas antigas de SSL-VPN (entre outras CVE-2022-42475, CVE-2023-27997, CVE-2024-21762): os atacantes tinham colocado, em dispositivos comprometidos, um symlink na pasta de ficheiros de idioma do SSL-VPN, que permitia acesso de leitura à configuração do dispositivo – e sobreviveu a patches posteriores. As estimativas variavam entre 14.000 e 16.600 dispositivos afetados. Só os builds 7.6.2, 7.4.7, 7.2.11, 7.0.17 e 6.4.16 reconhecem e removem o symlink. A lição: um patch fecha a falha, mas não põe fim automaticamente a um comprometimento já existente.
Maio: zero-day do FortiVoice
CVE-2025-32756 (CVSS 9,6, advisory FG-IR-25-254 de 13 de maio): um stack overflow com Remote Code Execution, explorado como zero-day contra o FortiVoice – incluindo a eliminação direcionada de rastos nos logs. Foram afetadas cinco linhas de produtos da Fortinet; a CISA incluiu a falha a 14 de maio no catálogo KEV. O padrão – zero-day, acesso não detetado, eliminação de rastos – correspondeu exatamente ao dos casos de firewall, só que desta vez através da central telefónica.
Junho e julho: Cisco ISE com CVSS 10,0 por três vezes
A 25 de junho, a Cisco publicou patches para duas falhas de RCE não autenticado no Identity Services Engine (CVE-2025-20281, -20282); em meados de julho seguiu-se, com a CVE-2025-20337, uma terceira – todas avaliadas com o valor máximo CVSS 10,0. Perto do final de julho confirmou-se a exploração ativa; a CISA seguiu a 28 de julho com o registo KEV para duas das três falhas. Não havia workaround, só o patch ajudava. Precisamente a instância central para o controlo de acesso à rede tornou-se, assim, ela própria o ponto de entrada.
Setembro: a dupla emergência da Cisco
O fim do mês trouxe dois alertas de zero-day no intervalo de dois dias. Primeiro: CVE-2025-20333 (CVSS 9,9) e CVE-2025-20362, encadeadas para a tomada completa de firewalls ASA e FTD, exploradas desde cerca de maio de 2025 – com o malware RayInitiator/LINE VIPER, que sobrevivia a reboots e até a upgrades de firmware. A CISA emitiu a Emergency Directive ED 25-03, o BSI emitiu um alerta. Segundo: CVE-2025-20352 (CVSS 7,7), um zero-day de SNMP em IOS/IOS XE, usado na «Operation Zero Disco» para rootkits em switches Catalyst mais antigos (inclusão no KEV a 29 de setembro).
Outubro: a intrusão na F5
A 15 de outubro, a F5 revelou através de uma notificação à SEC que um ator patrocinado por um Estado teve acesso de longo prazo ao ambiente de desenvolvimento do BIG-IP – descoberto já a 9 de agosto, com a divulgação adiada a pedido do Departamento de Justiça dos EUA. Foram subtraídas partes do código-fonte do BIG-IP, informações sobre vulnerabilidades ainda não publicadas, bem como dados de configuração de clientes individuais. No mesmo dia surgiu a notificação trimestral K000156572 com cerca de 44 CVEs; a CISA fixou, com a Emergency Directive ED 26-01, um prazo de patch até 22 de outubro, o NCSC e o BSI (2025-287083-1032) emitiram alertas. O Shadowserver contou cerca de 267.000 interfaces de gestão BIG-IP acessíveis a partir da internet. A atribuição a atores China-nexus, mencionada na imprensa e em investigações, não foi confirmada pela própria F5.
Novembro: FortiWeb, por duas vezes
No início de novembro tornou-se conhecido que a Fortinet tinha inicialmente corrigido em silêncio, com a versão 8.0.2, uma falha de path traversal ativamente explorada na linha de produtos WAF FortiWeb (CVE-2025-64446), que permitia contornar a autenticação – explorada desde o início de outubro, com contas de administrador não autorizadas em dispositivos expostos à internet; a classificação CVSS oscila, conforme a fonte, entre 9,1 e 9,8. A CISA listou a falha a 14 de novembro no catálogo KEV. Apenas quatro dias depois seguiu-se, com a CVE-2025-58034, o segundo zero-day do FortiWeb ativamente explorado (inclusão no KEV a 18 de novembro).
Dezembro: FortiCloud-SSO-Bypass
Para fechar o ano: CVE-2025-59718 e CVE-2025-59719 (CVSS 9,1 segundo a Fortinet, 9,8 segundo o NVD), um bypass de login no mecanismo FortiCloud SSO, divulgado a 9 de dezembro e ativamente explorado poucos dias depois. Explosivo era um detalhe: o SSO é ativado automaticamente no registo FortiCare, a menos que a opção seja desmarcada – muitos operadores nem sequer sabiam que essa via de acesso existia nos seus dispositivos. Vários CERT e prestadores de serviços de segurança emitiram alertas em poucos dias.
O que as médias empresas devem aprender com isto
As interfaces de gestão nunca devem estar expostas à internet. PAN-OS em fevereiro, FortiWeb em novembro, 267.000 interfaces BIG-IP expostas em outubro – uma parte considerável dos incidentes só funcionou porque os acessos de administração eram publicamente acessíveis. A administração deve estar numa rede de gestão separada ou atrás de uma VPN, com endereços de origem restritos.
Aplicar patches, por si só, não basta. A fuga Belsen atingiu dispositivos corrigidos através de credenciais antigas, o symlink da Fortinet e o RayInitiator sobreviveram a atualizações. Quem, após um advisory relevante, apenas aplica patches, mas não verifica nem as contas de administrador nem as alterações de configuração e não renova credenciais, fecha a porta atrás de um atacante que já está dentro da sala. É necessária uma monitorização contínua em busca de administradores não autorizados e de alterações de configuração inesperadas.
Hardware EOL é um risco de responsabilidade. A campanha UNC3886 decorreu predominantemente em routers end-of-life, a «Operation Zero Disco» em switches mais antigos. Dispositivos sem suporte do fabricante já não podem ser defendidos – a sua operação continuada no limite da rede é uma decisão de risco consciente e deveria também ser documentada como tal.
Assume Breach em appliances VPN expostos. Quem opera um gateway SSL-VPN há anos na internet deveria tomar 2025 como ocasião para verificar não apenas o nível de patch, mas um possível comprometimento antigo: contas, configuração, certificados, credenciais. Como é um conceito de segurança sólido para isso, descrevemo-lo em Cyber Security e Segurança.
Como a sector7 apoia
Como integrador de sistemas gerido pelo proprietário, operamos e reforçamos precisamente as plataformas aqui mencionadas – com certificações para Juniper, Cisco, HPE, F5, Fortinet e Palo Alto Networks. O nosso NOC monitoriza sistemas de clientes 24 horas por dia e reconhece assim também aquilo que os patches não cobrem: contas de administrador inesperadas, alterações de configuração, comportamento anómalo de dispositivos. Isso é complementado por uma prática de backup Veeam com experiência real e consultoria de compliance em ISO 27001, NIS-2, DORA e TISAX – a preços mensais fixos, no âmbito dos nossos Managed Services.
Fontes
- Fortinet PSIRT, FG-IR-24-535 (CVE-2024-55591): https://fortiguard.fortinet.com/psirt/FG-IR-24-535
- Lumen Black Lotus Labs, «J-magic»: https://www.lumen.com/blog/en-us/j-magic-show-magic-packets
- Palo Alto Networks Security Advisory CVE-2025-0108: https://security.paloaltonetworks.com/CVE-2025-0108
- Juniper Networks, Reference Advisory zur RedPenguin-Kampagne: https://supportportal.juniper.net/s/article/2025-03-Reference-Advisory-The-RedPenguin-Malware-Incident
- Fortinet PSIRT, FG-IR-25-254 (CVE-2025-32756): https://fortiguard.fortinet.com/psirt/FG-IR-25-254
- Cisco Security Advisory, ASA/FTD VPN Web Server (CVE-2025-20362): https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-webvpn-YROOTUW
- CISA Emergency Directive ED 25-03: https://www.cisa.gov/news-events/directives/ed-25-03-identify-and-mitigate-potential-compromise-cisco-devices
- F5, Quarterly Security Notification K000156572: https://my.f5.com/manage/s/article/K000156572
- CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Fortinet PSIRT (FortiWeb- und FortiCloud-SSO-Advisories): https://fortiguard.fortinet.com/psirt