CISA KEV: ownCloud, Linux e Artifactory entram no mesmo dia — com dois prazos diferentes

O sinal e os factos que mudam a decisão

A CISA adicionou em 27 de agosto CVE-2023-49105 no ownCloud, CVE-2026-53362 no kernel Linux e CVE-2026-66384 no JFrog Artifactory ao catálogo de vulnerabilidades exploradas. O feed atribui 30 de agosto aos dois primeiros e 10 de setembro ao terceiro para as entidades abrangidas pela diretiva federal norte-americana.

O próprio catálogo KEV é a evidência de exploração conhecida; NVD descreve a vulnerabilidade, mas uma entrada CVE isolada não prova exploração ativa. O feed descreve o ownCloud como acesso, modificação ou eliminação de ficheiros sem autenticação em condições específicas, e o caso Linux como elevação de privilégio no subsistema IPv6.

A entrada Artifactory descreve escrita fora do caminho de cache Docker pretendido por um utilizador autenticado sob condições específicas de repositório remoto. Tratar três entradas como uma campanha única ou confiar apenas no CVSS produz decisões erradas. São produtos e vetores distintos; um inventário incompleto pode declarar 'não aplicável' enquanto appliances, imagens base, runners ou serviços geridos continuam vulneráveis.

Decisão, limites e condição de bloqueio

Organizações portuguesas não herdam automaticamente o prazo federal dos EUA, mas exploração confirmada altera a prioridade técnica. A triagem deve separar presença do produto, versão afetada, exposição, controlos compensatórios, telemetria e capacidade de corrigir ou retirar o serviço.

Tratar três entradas como uma campanha única ou confiar apenas no CVSS produz decisões erradas. São produtos e vetores distintos; um inventário incompleto pode declarar 'não aplicável' enquanto appliances, imagens base, runners ou serviços geridos continuam vulneráveis.

Execução e prova de conclusão

A execução deve começar por consultar cmdb, scanners, sbom, imagens, fornecedores e equipas para provar presença ou ausência de cada produto e versão. Depois, isolar ativos expostos, recolher indicadores, preservar logs e aplicar a correção oficial ou mitigação verificável por vulnerabilidade. O fecho exige fechar cada ativo com versão antes/depois, hora, responsável, teste funcional, evidência de telemetria e decisão sobre investigação.

O quadro fecha apenas quando todas as fontes de inventário convergem, os ativos afetados estão corrigidos ou isolados e a equipa conserva prova consultável; uma resposta sem consulta a fornecedores e ambientes efémeros permanece aberta.

• consultar CMDB, scanners, SBOM, imagens, fornecedores e equipas para provar presença ou ausência de cada produto e versão.
• isolar ativos expostos, recolher indicadores, preservar logs e aplicar a correção oficial ou mitigação verificável por vulnerabilidade.
• fechar cada ativo com versão antes/depois, hora, responsável, teste funcional, evidência de telemetria e decisão sobre investigação.
• O quadro fecha apenas quando todas as fontes de inventário convergem, os ativos afetados estão corrigidos ou isolados e a equipa conserva prova consultável; uma resposta sem consulta a fornecedores e ambientes efémeros permanece aberta.