O problema de vulnerabilidade zero-day da SonicWall: o que as pequenas empresas precisam saber sobre o ransomware INC.

Autor: Craig Taylor

Não consigo ir a uma cafeteria, jogar golfe ou ter uma conversa amigável com um velho amigo sem que a IA seja mencionada. O que ela está fazendo com a sua vida, o seu trabalho, a sua empresa? Tudo parece se concentrar nos modelos de IA de vanguarda e no impacto da IA ​​em nosso dia a dia. A IA ocupa lugar de destaque no artigo sobre vulnerabilidades de dia zero da SonicWall, mencionado abaixo, porque, bem, essas vulnerabilidades foram provavelmente descobertas por um modelo de vanguarda, exploradas por outro modelo de vanguarda com uma prova de conceito e, em seguida, mitigadas por correções codificadas por um modelo de IA de vanguarda.

Os modelos de IA de ponta agora estão sondando sistematicamente todos os softwares online, incluindo firewalls e dispositivos de rede, em busca de vulnerabilidades. Eles testam com uma velocidade e profundidade que nenhuma equipe humana jamais conseguiu igualar. Nos últimos seis meses, os principais fornecedores de firewall lançaram de 10 a 25 vezes mais patches do que em qualquer período anterior. Os programas de recompensas por bugs de alguns fornecedores foram pausados ​​porque o número de envios está superando a capacidade de revisão. As equipes de desenvolvimento estão sobrecarregadas com correções para testar e implementar. A aliança Five Eyes emitiu um alerta conjunto em junho de 2026, avisando que as organizações têm meses, e não anos, para se preparar. Duas vulnerabilidades zero-day recentes em firewalls da SonicWall não são um evento isolado. Elas representam um padrão que agora afeta todos os fornecedores com produtos voltados para a internet.

O artigo abaixo aborda um único fornecedor, mas as informações aqui contidas se aplicam a todos os fornecedores que você utiliza. Os programas de recompensas por bugs deles estão suspensos porque não conseguem acompanhar o volume de envios. Os desenvolvedores estão sobrecarregados com correções de bugs que precisam ser testadas e implementadas. A situação está se agravando e todos estão trabalhando arduamente... a hora de se preparar e se proteger é agora. Não espere até que seja tarde demais.

O que aconteceu com o SonicWall?

Pesquisadores de IA em segurança descobriram duas vulnerabilidades nos firewalls da SonicWall, identificadas como CVE-2026-15409 e CVE-2026-15410. Os invasores exploraram ambas as falhas por cerca de três semanas antes que a SonicWall lançasse uma correção em 14 de julho. Durante essas três semanas, os hackers combinaram as duas vulnerabilidades para obter acesso total aos dispositivos afetados, roubar dados e bloquear redes com ransomware.

Quem está por trás disso?

Um grupo de ransomware chamado INC emergiu como o atacante mais ativo na exploração dessas falhas após o lançamento da correção. O INC opera um negócio de ransomware sob demanda desde 2023 e já alegou ter feito cerca de 900 vítimas em 71 países. A empresa de segurança Rapid7 rastreou a atividade do grupo e descobriu que o INC passou da invasão à implantação de ransomware mais rapidamente do que outros atacantes que testaram as mesmas vulnerabilidades antes da divulgação pública.

A Rapid7 afirmou ter impedido o roubo e a criptografia de dados na maioria dos casos recentes em que atuou, embora um ataque de ransomware tenha sido bem-sucedido em pelo menos um incidente. Outra empresa, a Resecurity, descobriu que a INC listou novas vítimas da Austrália, Estados Unidos, Emirados Árabes Unidos, Colômbia e Suíça em seu site de vazamentos da dark web. Algumas vítimas receberam ligações e e-mails de pessoas pressionando-as a pagar.

Por que isso é importante para o seu negócio

Este não é o primeiro problema de segurança relacionado a dispositivos SonicWall. Dez das dezessete vulnerabilidades da SonicWall adicionadas à lista de Vulnerabilidades Conhecidas e Exploradas do governo federal desde 2021 estão ligadas a campanhas de ransomware. Somente na semana passada, pesquisadores detectaram uma onda de ataques que atingiu 30 clientes da SonicWall em dois dias, utilizando credenciais de login roubadas.

Se sua empresa utiliza um firewall SonicWall ou qualquer outro dispositivo de segurança voltado para a internet, esse padrão também se aplica a você. Os invasores visam hardware popular e amplamente utilizado porque uma única vulnerabilidade explorada afeta milhares de organizações que usam o mesmo equipamento.

Dicas práticas para implementar hoje mesmo

• Remendar mais rápidoCom o SonicWall 7.1.1 ou posterior, você pode ativar atualizações automáticas de firmware em horários fixos. Ative essa opção todas as noites, entre 1h e 2h da manhã. Considerando a frequência de ataques após o lançamento de patches, essa é uma medida prudente.
• Reduzir a superfície de ataqueAnalise as portas e os protocolos que você permite na entrada do seu firewall. Preste atenção ao tráfego de VPN ou outras soluções pontuais. Se você realmente precisar usar um túnel SSH, limite-o a endereços IP online específicos, em vez de permitir QUALQUER IP.
• Identifique quaisquer sinais de intrusão.Verifique seus registros em busca de atividades incomuns desde o final de junho. Procure por tentativas de login, alterações de configuração ou tráfego que você não reconheça.
• Proativamente Alterar senhas de administrador e redefina as credenciais associadas ao seu firewall e VPN, especialmente se você não as tiver alterado recentemente.
• Verifique se a autenticação multifator está habilitada para todos os acessos remotos (nenhuma exceção foi concedida). Esse simples hábito impede a maioria das invasões baseadas em credenciais antes mesmo que elas comecem.

Nenhuma dessas medidas exige um grande orçamento ou uma equipe de segurança dedicada. Algumas horas de atenção aos detalhes protegem sua empresa de se tornar a próxima vítima de um vazamento de dados.

Resumo do CyberHoot

Os firewalls às vezes falham e, quando isso acontece, pode ser um grande problema. Os fornecedores lançam patches mais rapidamente hoje do que nunca. Os invasores se adaptam e atacam com mais rapidez também. Justo quando pensávamos que as coisas não poderiam ficar mais rápidas, elas ficam. Habilitar atualizações diárias de firmware pode parecer arriscado, mas a questão é: uma interrupção ocasional devido a uma falha na instalação do firmware é melhor do que uma violação de segurança?

Seu próximo passo

Reserve uma hora hoje para revisar a configuração do seu firewall. Habilite janelas automáticas para atualizações de firmware (diariamente, se possível). Feche portas desnecessárias, confirme a autenticação multifator (MFA) em todas as soluções de acesso remoto, reduza o volume de dados na sua rede interna e implemente um honeypot.

Encaminhe este artigo para quem cuida da TI na sua empresa, mesmo que seja você. Algumas medidas proativas hoje lhe proporcionarão tranquilidade, uma melhor proteção contra a velocidade dos ataques que vemos atualmente e algumas medidas preventivas defensáveis ​​que você poderá compartilhar com a alta administração diante das crescentes preocupações com ataques de modelos de IA de vanguarda. Ah, e lembre-se sempre de usar o Hoot Up!

---

Fontes:

• The Hacker News: O ransomware INC surge como o principal agente explorador de falhas do SonicWall SMA 1000.
• Agência de Segurança Cibernética e de Infraestrutura: Catálogo de Vulnerabilidades Exploradas Conhecidas
• Tendências de ransomware da Rapid7 no segundo trimestre de 2025 (menciona o grupo de ransomware INC)
• SocRadar expõe grupo de ransomware INC

---

Perguntas frequentes

Quais vulnerabilidades da SonicWall (CVE-2026-15409 e CVE-2026-15410) foram anunciadas recentemente? São duas vulnerabilidades de dia zero que afetam firewalls da SonicWall e que foram exploradas ativamente por cerca de três semanas antes de a SonicWall divulgá-las e corrigi-las em 14 de julho de 2026. Os atacantes estavam combinando as duas falhas para obter acesso total aos dispositivos afetados.

Quem está por trás dos ataques? Vários agentes exploraram as falhas antes de serem divulgadas publicamente, mas o grupo INC, que opera como um serviço de ransomware e está ativo desde 2023, tornou-se o atacante mais proeminente e eficaz na exploração da vulnerabilidade desde então.

Quantas organizações foram afetadas? O número exato é desconhecido. A Rapid7 respondeu a vários incidentes e impediu o roubo ou a criptografia de dados na maioria deles, mas pesquisadores afirmam que o alcance total provavelmente vai muito além do que qualquer fornecedor de segurança individual consegue detectar. A INC listou novas vítimas em diversos países em seu site de vazamentos.

Esta é a primeira vez que a SonicWall enfrenta esse tipo de problema? Não. A SonicWall lidou com uma série de problemas de segurança nos últimos anos, incluindo outras vulnerabilidades zero-day exploradas ativamente, uma onda de ataques em massa baseados em credenciais que atingiu 30 clientes em dois dias e um incidente anterior em que invasores roubaram arquivos de configuração de firewall de todos os clientes da SonicWall.

O que os clientes da SonicWall devem fazer agora? Aplicar imediatamente as atualizações disponíveis, revisar os registros em busca de atividades suspeitas desde o final de junho, trocar as credenciais associadas aos dispositivos afetados e monitorar atentamente os dispositivos SonicWall conectados à internet em busca de comportamentos incomuns.

Proteja seu negócio com a CyberHoot hoje mesmo!