Kiteworks lança correções para falha crítica no Email Protection Gateway

A Kiteworks, fornecedora de compartilhamento seguro de arquivos, disponibilizou atualizações de software para corrigir 126 vulnerabilidades em sua plataforma. O pacote de correções inclui uma falha de gravidade máxima no Kiteworks Email Protection Gateway (EPG), um componente corporativo projetado para integrar transferências seguras de arquivos, proteção de e-mail, APIs e formulários web ao ecossistema Kiteworks Private Content Network.

Riscos críticos de exploração

A vulnerabilidade de maior gravidade, identificada como CVE-2026-54154, foi divulgada à Kiteworks por meio de seu programa de bug bounty na plataforma YesWeHack. De acordo com a Kiteworks, a falha envolve uma cadeia de problemas no tratamento de entradas em endpoints expostos publicamente, combinando travessia de diretório (path traversal), injeção de código e ausência de controles de autenticação. Atacantes remotos sem privilégios prévios poderiam explorar essas brechas de baixa complexidade sem necessidade de interação do usuário, permitindo a execução arbitrária de código e a elevação de privilégios para acesso root ao dispositivo afetado.

Correções de segurança abrangentes

Além da vulnerabilidade de gravidade máxima, a atualização de segurança resolve outros 11 problemas críticos nos componentes Kiteworks Core e EPG. As falhas corrigidas incluem burla de autenticação, sequestro de contas administrativas, cross-site scripting (XSS) armazenado, autenticação inadequada e controles de acesso incorretos.

Sistemas afetados e mitigação

A falha de gravidade máxima afeta todas as versões do Email Protection Gateway anteriores à 9.4.1. A Kiteworks corrigiu a vulnerabilidade a partir da versão 9.4.1. Anteriormente, a empresa havia emitido um aviso preventivo orientando os clientes a desligarem temporariamente seus servidores após alertas sobre um ataque zero-day iminente; no entanto, os ambientes de clientes hospedados foram reativados na segunda-feira após a aplicação dos patches. A Kiteworks declarou que não encontrou evidências de comprometimento dos sistemas. O grupo de monitoramento de ameaças Shadowserver observa atualmente quase 400 instâncias da Kiteworks expostas à internet pública, embora os números exatos sobre o status de atualização permaneçam incertos.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Kiteworks patches max severity code injection vulnerability