CERT PT

<div style="width: 100%; overflow-x: auto; -webkit-overflow-scrolling: touch;"> <table style="width: 100%; min-width: 700px; border-collapse: collapse; font-family: Arial, sans-serif; font-size: 14px; border-radius: 8px; overflow: hidden;"> <thead> <tr> <th style="padding: 0; border: none;" colspan="3"> <div style="display: flex; justify-content: space-between; align-items: center; gap: 16px; background-color: #1f4e79; color: white; padding: 12px 16px;"><span style="font-weight: bold; font-size: 14px;">CVSS v4.0 - Resumo Técnico</span> <span style="background-color: #ff4d4d; color: white; padding: 6px 12px; border-radius: 6px; font-weight: bold; font-size: 13px; white-space: nowrap;">CVSS: 9.4 / 10 - Crítico</span></div> </th> </tr> </thead> <tbody> <tr style="background-color: #f4f7fb;"> <td style="padding: 8px; border: 1px solid #ddd;"><strong>CVE</strong></td> <td style="padding: 8px; border: 1px solid #ddd;" colspan="2"><strong>CVE-2026-87899</strong></td> </tr> <tr style="background-color: #f4f7fb;"> <td style="padding: 8px; border: 1px solid #ddd;"><strong>Vetor</strong></td> <td style="padding: 8px; border: 1px solid #ddd; font-family: monospace; word-break: break-word; overflow-wrap: anywhere;" colspan="2">CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H</td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Vetor de Ataque</td> <td style="padding: 8px; border: 1px solid #ddd;">Rede</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Explorável remotamente através da rede</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Complexidade</td> <td style="padding: 8px; border: 1px solid #ddd;">Baixa</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Fácil de explorar</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Requisitos de Ataque</td> <td style="padding: 8px; border: 1px solid #ddd;">Nenhum</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Não requer condições específicas para além do acesso</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Privilégios</td> <td style="padding: 8px; border: 1px solid #ddd;">Baixos</td> <td style="padding: 8px; border: 1px solid #ddd;">Requer uma conta cPanel autenticada</td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Interação</td> <td style="padding: 8px; border: 1px solid #ddd;">Nenhuma</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Não requer intervenção do utilizador</strong></span></td> </tr> <tr style="background-color: #ffe6e6;"> <td style="padding: 10px; border: 1px solid #ddd;"><strong>Resumo</strong></td> <td style="padding: 10px; border: 1px solid #ddd;" colspan="2">Vulnerabilidade de severidade crítica (CVSS 9.4), identificada como CVE-2026-87899, de execução com privilégios desnecessários (CWE-250) na funcionalidade CalDAV/CardDAV do cPanel. Um titular de conta cPanel autenticado escala privilégios e executa código como utilizador root, podendo assumir o controlo total do servidor. Alerta emitido para três vulnerabilidades do boletim de 22 de setembro de 2026; esta tabela detalha o CVE de referência e os restantes constam da Descrição. Afeta a versão 120 e posteriores; corrigido nos builds 11.134.0.57, 11.136.0.41, 11.138.0.8 e WP Squared 11.138.1.11.</td> </tr> </tbody> </table> </div> <div class="alert-detail-title" style="text-align: left;"><br />Descrição</div> A cPanel publicou um boletim de segurança a 22 de setembro de 2026 que corrige três vulnerabilidades que comprometem o isolamento entre contas em servidores de alojamento partilhado [1][2].<br /><br /> <ul> <li><strong>CVE-2026-87899</strong> (cPanel, CalDAV/CardDAV). CVSS 9.4, CWE-250. Execução com privilégios desnecessários: um titular de conta cPanel autenticado escala privilégios e executa código como utilizador root, com potencial controlo total do servidor. Afeta a versão 120 e posteriores [1][3].</li> <li><strong>CVE-2026-68490</strong> (cPanel, CalDAV/CardDAV). CVSS 8.2, CWE-732. Atribuição de permissões incorreta que permite a um utilizador local do servidor ler os calendários e contactos de outras contas cPanel; a exploração é apenas de leitura e não permite alterar os dados nem o acesso root. Afeta a versão 120 e posteriores [2][4].</li> <li><strong>CVE-2026-87900</strong> (WP Toolkit). CVSS 9.4, injeção de argumentos (CWE-88). Injeção de argumentos no tratamento do comando de criação de bases de dados do WP Toolkit que permite a um utilizador cPanel autenticado modificar bases de dados pertencentes a outras contas. Afeta o wp-toolkit-cpanel 6.11.2-10794 e anteriores [5].</li> </ul> <div class="alert-detail-title">Impacto</div> As três vulnerabilidades comprometem o isolamento entre contas num servidor de alojamento partilhado. O CVE-2026-87899 e o CVE-2026-87900 exigem uma conta cPanel autenticada; o CVE-2026-68490 exige um utilizador local no servidor. Nenhuma requer interação do utilizador [1][2][5].<br /><br />O impacto vai da execução de código como root e controlo total do servidor (CVE-2026-87899), à modificação das bases de dados de outras contas (CVE-2026-87900) e à leitura dos calendários e contactos de outras contas (CVE-2026-68490), com exposição de dados pessoais [1][2][5].<br /><br /> <div class="alert-detail-title">Resolução</div> Recomenda-se a atualização para as versões corrigidas [1][2][6]:<br /> <ul> <li>cPanel & WHM (CVE-2026-87899 e CVE-2026-68490): 11.134.0.57, 11.136.0.41, 11.138.0.8 ou WP Squared 11.138.1.11, ou posteriores</li> <li>WP Toolkit (CVE-2026-87900): componente wp-toolkit-cpanel 6.11.3 ou posterior, atualizado separadamente</li> </ul> Medidas adicionais de mitigação e deteção:<br /> <ul> <li>As versões 120 a 133, embora afetadas, não têm build corrigido listado; migrar para uma das linhas corrigidas (134, 136 ou 138) [6].</li> <li>Não existe workaround temporário para o cPanel & WHM; a atualização é a única resolução. A atualização corrige também as permissões de calendário e contactos das contas existentes [1][2][6].</li> <li>Atualizar o cPanel & WHM em WHM, em Home / cPanel / Upgrade to Latest Version, ou com <code>/usr/local/cpanel/scripts/upcp --force</code> como root; o WP Toolkit exige a sua própria atualização para 6.11.3 [6].</li> <li>Após a atualização, confirmar as versões instaladas do cPanel & WHM e do wp-toolkit-cpanel e rever as permissões de calendário e contactos das contas.</li> </ul> <div class="alert-detail-title">Referências</div> [1] - <a href="https://support.cpanel.net/hc/en-us/articles/43591715125271" target="_blank" rel="noopener">https://support.cpanel.net/hc/en-us/articles/43591715125271</a><br />[2] - <a href="https://support.cpanel.net/hc/en-us/articles/43502940099991" target="_blank" rel="noopener">https://support.cpanel.net/hc/en-us/articles/43502940099991</a><br />[3] - <a href="https://www.cve.org/CVERecord?id=CVE-2026-87899" target="_blank" rel="noopener">https://www.cve.org/CVERecord?id=CVE-2026-87899</a><br />[4] - <a href="https://www.cve.org/CVERecord?id=CVE-2026-68490" target="_blank" rel="noopener">https://www.cve.org/CVERecord?id=CVE-2026-68490</a><br />[5] - <a href="https://www.cve.org/CVERecord?id=CVE-2026-87900" target="_blank" rel="noopener">https://www.cve.org/CVERecord?id=CVE-2026-87900</a><br />[6] - <a href="https://thehackernews.com/2026/09/new-cpanel-flaw-lets-hosting-account_0272795595.html" target="_blank" rel="noopener">https://thehackernews.com/2026/09/new-cpanel-flaw-lets-hosting-account_0272795595.html</a>

<div style="width: 100%; overflow-x: auto; -webkit-overflow-scrolling: touch;"> <table style="width: 100%; min-width: 700px; border-collapse: collapse; font-family: Arial, sans-serif; font-size: 14px; border-radius: 8px; overflow: hidden;"> <thead> <tr> <th style="padding: 0; border: none;" colspan="3"> <div style="display: flex; justify-content: space-between; align-items: center; gap: 16px; background-color: #1f4e79; color: white; padding: 12px 16px;"><span style="font-weight: bold; font-size: 14px;">CVSS v4.0 - Resumo Técnico</span> <span style="background-color: #ff4d4d; color: white; padding: 6px 12px; border-radius: 6px; font-weight: bold; font-size: 13px; white-space: nowrap;">CVSS: 9.5 / 10 - Crítico</span></div> </th> </tr> </thead> <tbody> <tr style="background-color: #f4f7fb;"> <td style="padding: 8px; border: 1px solid #ddd;"><strong>CVE</strong></td> <td style="padding: 8px; border: 1px solid #ddd;" colspan="2"><strong>CVE-2026-93952/EUVD-2026-84296</strong></td> </tr> <tr style="background-color: #f4f7fb;"> <td style="padding: 8px; border: 1px solid #ddd;"><strong>Vetor</strong></td> <td style="padding: 8px; border: 1px solid #ddd; font-family: monospace; word-break: break-word; overflow-wrap: anywhere;" colspan="2">CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H</td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Vetor de Ataque</td> <td style="padding: 8px; border: 1px solid #ddd;">Rede</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Explorável remotamente através da rede</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Complexidade</td> <td style="padding: 8px; border: 1px solid #ddd;">Alta</td> <td style="padding: 8px; border: 1px solid #ddd;">Exige condições adicionais para a exploração</td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Requisitos de Ataque</td> <td style="padding: 8px; border: 1px solid #ddd;">Nenhum</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Não requer condições específicas para além do acesso</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Privilégios</td> <td style="padding: 8px; border: 1px solid #ddd;">Nenhum</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Sem autenticação</strong></span></td> </tr> <tr> <td style="padding: 8px; border: 1px solid #ddd;">Interação</td> <td style="padding: 8px; border: 1px solid #ddd;">Nenhuma</td> <td style="padding: 8px; border: 1px solid #ddd;"><span style="background-color: #ff4d4d; color: white; padding: 4px 8px; border-radius: 4px;"><strong>Não requer intervenção do utilizador</strong></span></td> </tr> <tr style="background-color: #ffe6e6;"> <td style="padding: 10px; border: 1px solid #ddd;"><strong>Resumo</strong></td> <td style="padding: 10px; border: 1px solid #ddd;" colspan="2">Vulnerabilidade de severidade crítica (CVSS 9.5), identificada como CVE-2026-93952, de validação de input incorreta (CWE-20) no Arista VeloCloud Orchestrator (VCO) on-premises. Um atacante remoto sem credenciais do VCO, com acesso ao interface web, alcança funcionalidade interna privilegiada e compromete o host do orquestrador e os dados que gere. A exposição depende de estar configurada autenticação por certificado dos Edge para o VCO. Exploração ativa confirmada pela Arista. Corrigido no VCO 5.2.3.16 e 6.4.2.8; restantes ramificações por corrigir. Nota: apresenta-se o vetor CVSS v4.0 (9.5); a v3.1 do mesmo vetor atribui 10.0.</td> </tr> </tbody> </table> </div> <div class="alert-detail-title" style="text-align: left;"><br />Descrição</div> Vulnerabilidade de validação de input incorreta (CWE-20) no Arista VeloCloud Orchestrator, com o identificador CVE-2026-93952/EUVD-2026-84296 [1][2][3]. O VeloCloud Orchestrator (VCO) é o servidor que gere e orquestra os dispositivos Edge de uma rede SD-WAN VeloCloud. Por validação insuficiente do input recebido, um atacante remoto alcança funcionalidade interna privilegiada e afeta o host do orquestrador [1].<br /><br />A exposição depende da configuração: o VCO só é vulnerável quando está ativa a autenticação por certificado dos Edge para o VCO. Para explorar, o atacante necessita de acesso de rede ao interface web do VCO e da porção pública de um certificado de autenticação de um Edge, não sendo necessárias credenciais de tenant ou de operador do VCO [1]. A Arista confirma que a vulnerabilidade está a ser ativamente explorada [1].<br /><br />É afetado o VeloCloud Orchestrator on-premises nas seguintes ramificações [1]:<br /> <ul> <li>5.2.x: 5.2.3.15 e anteriores</li> <li>6.1.x: 6.1.3.7 e anteriores</li> <li>6.4.x: 6.4.2.7 e anteriores</li> <li>7.0.x: 7.0.0.2 e anteriores</li> </ul> As versões Hosted e Dedicated do VCO já foram corrigidas pela Arista. O VeloCloud Gateway e o VeloCloud Edge não são afetados [1].<br /><br /> <div class="alert-detail-title">Impacto</div> Um atacante remoto não autenticado, sem credenciais do VCO, que disponha de acesso ao interface web e da porção pública de um certificado de Edge, alcança funcionalidade interna privilegiada no orquestrador [1].<br /><br />A exploração compromete a confidencialidade, integridade e disponibilidade do orquestrador e dos dados que gere. Como o VCO controla a rede SD-WAN, o seu comprometimento pode dar acesso aos dispositivos Edge geridos [1].<br /><br /> <div class="alert-detail-title">Resolução</div> Recomenda-se a atualização do VCO on-premises para uma versão corrigida [1]:<br /> <ul> <li>Ramificação 5.2.3: 5.2.3.16 ou posterior</li> <li>Ramificação 6.4.2: 6.4.2.8 ou posterior</li> <li>Ramificações 6.1.x e 7.0.x: ainda sem correção disponível à data; aplicar quando publicada e contactar o Arista TAC para opções de atualização, incluindo ramificações sem suporte [1][4]</li> </ul> Medidas adicionais de mitigação e deteção [1]:<br /> <ul> <li>Enquanto a correção não é aplicada, restringir o acesso ao interface web do VCO a redes de administração de confiança, monitorizar acessos a partir de IPs maliciosos conhecidos e atividade de saída inesperada do host, bloquear portos de saída desnecessários e vigiar a presença de daemons de backdoor e webshells.</li> <li>Não existe um indicador de comprometimento único. Rever os logs de acesso web do VCO para caminhos de URL invulgares, caracteres codificados, referências a serviços internos ou taxas de pedidos elevadas, e os logs aplicacionais e de sistema para execução de comandos, criação de ficheiros, exportação de base de dados ou acesso a configuração, credenciais, certificados e material de chave não esperados.</li> <li>Indicadores de comprometimento publicados pela Arista: presença dos ficheiros <code>/usr/local/sbin/.vcnode.js</code>, <code>/usr/local/sbin/vc-sysmond</code> (MD5 <code>dc78e206eaeadec59fc5801fe4556bd0</code>) ou <code>/etc/systemd/system/vc-sysmon.service</code>; o cabeçalho HTTP <code>x-vc-opt</code> nos logs do nginx; ligações a partir dos IPs <code>142.93.149.77</code> e <code>104.248.126.159</code>. Perante qualquer destes indicadores, preservar o estado e os logs do VCO e contactar o Arista TAC.</li> <li>Após a correção, e em caso de suspeita de comprometimento, rodar credenciais e material criptográfico, validar o estado dos dispositivos geridos e restaurar ou substituir o orquestrador a partir de uma fonte de confiança, dado que o comprometimento do VCO pode ter exposto os Edge geridos.</li> </ul> <div class="alert-detail-title">Referências</div> [1] - <a href="https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183" target="_blank" rel="noopener">https://www.arista.com/en/support/advisories-notices/security-advisory/24765-security-advisory-0183</a><br />[2] - <a href="https://www.cve.org/CVERecord?id=CVE-2026-93952" target="_blank" rel="noopener">https://www.cve.org/CVERecord?id=CVE-2026-93952</a><br />[3] - <a href="https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-84296" target="_blank" rel="noopener">https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-84296</a><br />[4] - <a href="https://thehackernews.com/2026/09/new-cvss-100-velocloud-orchestrator.html" target="_blank" rel="noopener">https://thehackernews.com/2026/09/new-cvss-100-velocloud-orchestrator.html</a>