A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) atualizou seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) com quatro novas falhas de segurança que estão sendo ativamente exploradas. As vulnerabilidades identificadas são:
- CVE-2025-68645: Uma falha de inclusão remota de arquivos no Synacor Zimbra Collaboration Suite, que permite a inclusão de arquivos arbitrários sem autenticação. Corrigida em novembro de 2025 na versão 10.1.13.
- CVE-2025-34026: Uma brecha de autenticação no Versa Concerto SD-WAN, possibilitando acesso a endpoints administrativos. Corrigida em abril de 2025 na versão 12.2.1 GA.
- CVE-2025-31125: Problema de controle de acesso no Vite Vitejs, permitindo retorno de conteúdos de arquivos arbitrários ao navegador. Corrigida em março de 2025 nas versões 6.2.4, 6.1.3, 6.0.13, 5.4.16 e 4.5.11.
- CVE-2025-54313: Código malicioso embutido no eslint-config-prettier, permitindo execução de DLLs maliciosas. Relacionada a um ataque à cadeia de suprimentos que afetou vários pacotes npm em julho de 2025.
Esforços de exploração da CVE-2025-68645 estão em andamento desde 14 de janeiro de 2026. Não há detalhes sobre a exploração das outras falhas. De acordo com a Diretiva Operacional Vinculativa 22-01, as agências do ramo executivo civil federal devem aplicar as correções necessárias até 12 de fevereiro de 2026 para proteger suas redes contra essas ameaças.
Fonte:https://thehackernews.com/2026/01/cisa-updates-kev-catalog-with-four.html
