O firewall desatualizado abre a porta do ransomware

Uma falha em firewalls WatchGuard Firebox saiu do campo do boletim técnico e virou ferramenta de trabalho de quadrilhas de ransomware. A agência de cibersegurança dos Estados Unidos, conhecida pela sigla CISA, atualizou o catálogo de vulnerabilidades sob ataque ativo e passou a registrar que grupos de extorsão digital estão usando o problema catalogado como CVE-2025-14733.

Para quem decide numa clínica, num escritório de contabilidade ou numa indústria, a tradução é direta: o equipamento que separa a sua rede da internet pode estar aceitando ordens de desconhecidos. Quando o ataque entra por aí, ele não depende de um clique errado no e-mail do financeiro. Ele começa pela porta da frente, sem usuário e sem senha, antes que qualquer antivírus tenha chance de opinar.

O que foi encontrado dentro do equipamento

O defeito é de um tipo chamado escrita fora dos limites. Em linguagem de dono de empresa: o aparelho reserva um espaço na memória para guardar determinada informação, recebe algo maior do que esse espaço e acaba gravando a sobra onde não devia. Quem sabe montar esse envio consegue executar código próprio dentro do firewall, sem precisar de usuário e senha, e com pouco esforço técnico. É esse conjunto que torna a brecha tão atraente para o crime organizado.

Segundo o fabricante, o problema aparece no sistema Fireware nas versões 11.x e seguintes, incluindo a 11.12.4_Update1; nas 12.x e seguintes, incluindo a 12.11.5; e nas versões 2025.1 até a 2025.1.3. A correção foi publicada em dezembro, acompanhada de uma observação sobre configuração: o aparelho fica exposto quando usa VPN IKEv2. E aqui mora uma armadilha. A própria WatchGuard alertou que apagar a configuração vulnerável pode não bastar, caso ainda exista uma VPN de filial apontada para um par com gateway estático.

A fabricante confirmou ainda que invasores já exploravam a falha no mundo real e divulgou indicadores de comprometimento, os sinais que permitem conferir se aquele Firebox foi mexido. Esse detalhe muda a ordem das tarefas: não basta atualizar. É preciso olhar para trás e verificar se alguém já esteve lá dentro antes de a correção ser aplicada.

Por que a entrada do ransomware muda o tamanho do problema

A CISA havia incluído a falha em dezembro na sua lista de vulnerabilidades exploradas e, na ocasião, deu às agências federais americanas o prazo de uma semana para regularizar a situação, conforme a diretiva BOD 22-01. Na atualização mais recente do catálogo, a agência acrescentou que grupos de ransomware passaram a usar a mesma brecha. Detalhes desses ataques não foram divulgados.

Para a sua empresa, a diferença é prática. Um invasor curioso testa, olha e sai. Uma quadrilha de ransomware entra, estuda a rede por dentro, procura o servidor de arquivos e o banco de dados, tenta alcançar as cópias de segurança e só então embaralha tudo, com pedido de resgate e ameaça de vazamento. O firewall vulnerável é o começo dessa história, nunca o fim dela. Por isso o assunto merece tratamento de manutenção urgente, e não de tarefa que entra na fila.

Milhares de aparelhos seguem sem correção

O Shadowserver, grupo que varre a internet em busca de sistemas expostos, contabilizou mais de 115 mil equipamentos Firebox sem a correção em dezembro. Nove meses depois, perto de 9 mil seguiam na mesma situação. O número diz menos sobre tecnologia e mais sobre rotina: alguém precisa ser o responsável por atualizar aquilo, e em muita empresa esse nome simplesmente não existe.

O tamanho do parque instalado ajuda a entender o quadro. A WatchGuard informa atender mais de 250 mil pequenas e médias empresas, por meio de uma rede com mais de 17 mil revendas e prestadores de serviço. É o tipo de caixinha instalada há anos no rack, que nunca deu problema aparente e, justamente por isso, parou de ser olhada.

Não é a primeira vez. Em setembro de 2025, a fabricante corrigiu uma falha de execução remota quase idêntica a esta, a CVE-2025-9242; um mês depois, a CISA a classificou como explorada ativamente e o Shadowserver localizou mais de 75 mil aparelhos vulneráveis. Antes disso, outra brecha da mesma família, a CVE-2022-23176, atingiu modelos Firebox e XTM e virou ordem de correção para o governo americano. O padrão se repete: o intervalo entre a correção existir e a correção ser aplicada é o espaço em que o ataque acontece.

O que pedir para a sua equipe nesta semana

Nada da lista abaixo exige que você entenda de firewall. Exige que alguém responda a cada pergunta com nome e prazo.

1. Qual é o modelo e qual é a versão? Levante fabricante, modelo e versão de sistema de cada firewall da matriz e das filiais. Sem inventário, não existe conversa possível.
2. A versão instalada está entre as afetadas? Se o equipamento for WatchGuard Firebox, confira as faixas do Fireware citadas acima e agende a atualização.
3. Como estão as VPNs? Peça a revisão das conexões IKEv2 e dos túneis com filiais apontados para gateway estático, ponto destacado pelo próprio fabricante.
4. Alguém já entrou antes? Use os indicadores de comprometimento publicados pela WatchGuard para procurar sinais de invasão anteriores à atualização.
5. Quem acompanha o equipamento? Defina responsável, janela de manutenção e registro do que foi feito, com data.
6. O backup sobreviveria a um sequestro de dados? Cópia acessível pela mesma rede é cópia sequestrável. Vale manter cópia isolada e, sobretudo, teste de restauração com hora marcada.

E se o meu firewall for de outra marca?

A lição vale igual. Fortinet, MikroTik, Sophos, pfSense: todo equipamento de borda recebe correções de segurança, e todo fabricante publica boletins que quase ninguém lê. A pergunta que interessa ao dono do negócio não é qual marca está no rack, e sim com que frequência aquele aparelho recebe atenção e quem avisa você quando surge uma correção urgente. Se não houver resposta, o risco não está na marca; está no processo.

Firewall não é compra, é rotina

Nenhuma empresa deixa de operar por causa de uma sigla como CVE-2025-14733. Ela deixa de operar porque o firewall desatualizado ficou anos no canto da sala, ligado, funcionando e esquecido. Um firewall gerenciado não é um aparelho mais caro: é o mesmo aparelho com alguém encarregado de acompanhar os boletins do fabricante, aplicar correção em janela combinada e revisar regras que ninguém mais lembra por que foram criadas.

Ataque não escolhe horário comercial. Costuma chegar na madrugada, no feriado, no sábado à tarde. É aí que o monitoramento 24 horas mostra utilidade prática: alguém percebe o comportamento estranho enquanto ele ainda é apenas estranho, e não quando a tela de resgate já apareceu. Do lado da recuperação, quem define o tamanho do prejuízo é o backup com restauração testada, porque cópia que nunca foi restaurada é promessa, e não volta ao ar comprovada.

Vale separar a decisão em duas partes: o que precisa ser feito agora, no equipamento afetado, e o que vira rotina daqui em diante, com inventário, calendário de atualização e responsável definido. A primeira parte resolve o susto desta semana.

Fonte: BleepingComputer — CISA: WatchGuard RCE flaw now exploited in ransomware attacks, setembro de 2026.

A Ragnatela IOT Solutions trabalha com firewall, projeto de rede, monitoramento 24 horas e backup com restauração testada para empresas que precisam operar sem sobressalto. Se hoje ninguém na sua empresa sabe dizer qual é a versão do firewall instalado no rack, fale com a nossa equipe e vamos olhar isso junto.