falha crítica firewallvulnerabilidade vpn empresacve-2024-3400 palo altoglobalprotect vulnerabilidade

Falha crítica no firewall ou na VPN da empresa: o que o gestor faz

Quando o firewall ou a VPN da sua empresa tem uma falha crítica já explorada, o invasor pode entrar na rede sem senha. O gestor precisa confirmar se o equipamento está na versão afetada, aplicar a correção do fabricante em poucos dias, procurar sinais de invasão e trocar as senhas guardadas no aparelho.

Por Equipe CyberArmor25 de março de 2026

Por que uma falha no firewall ou na VPN é tão grave?

O firewall e a VPN (rede privada virtual, o acesso remoto dos funcionários) ficam na borda da rede. Eles recebem conexões da internet o dia inteiro, por isso qualquer pessoa no mundo consegue testá-los. Quando aparece uma falha que dispensa senha, o atacante não precisa enganar ninguém da equipe. Ele entra pelo próprio equipamento que deveria barrá-lo.

O dano costuma ir além do aparelho. O firewall guarda a configuração da rede, contas de serviço e, às vezes, senhas usadas para consultar o Active Directory (o cadastro central de usuários do Windows). Quem controla o firewall enxerga a rede por dentro e pode usar essas credenciais para chegar aos servidores.

O que aconteceu no caso CVE-2024-3400 da Palo Alto?

Em 12 de abril de 2024, a Palo Alto Networks publicou o aviso da CVE-2024-3400, uma falha de injeção de comando no recurso GlobalProtect do sistema PAN-OS. Segundo o aviso oficial da Palo Alto, a falha permitia que um atacante sem autenticação executasse código como root (o administrador total) no firewall, e recebeu nota 10.0, a máxima da escala CVSS.

A empresa Volexity foi quem descobriu o ataque. No relatório da Volexity de 12 de abril de 2024, os pesquisadores contam que viram a exploração em um cliente em 10 de abril e que a tentativa mais antiga encontrada era de 26 de março. Em um dos casos, o invasor usou uma conta de serviço do firewall para circular pela rede e copiar a base de senhas do Active Directory.

No mesmo dia do aviso, a CISA, agência de cibersegurança dos Estados Unidos, publicou um alerta e incluiu a falha no catálogo KEV. O KEV é a lista pública de falhas com exploração confirmada.

O caso é de 2024 e já foi corrigido. Ele aparece aqui porque o roteiro de resposta serve para a próxima falha em qualquer marca de firewall ou VPN.

Como saber se o seu equipamento está afetado?

O primeiro passo é ter um inventário simples: marca, modelo, versão do sistema e quais serviços estão abertos para a internet. Sem essa lista, ninguém consegue responder em minutos se a empresa está exposta.

Depois, leia o aviso do fabricante com atenção às condições. No caso da CVE-2024-3400, o aviso da Palo Alto diz que só eram afetados firewalls com PAN-OS 10.2, 11.0 ou 11.1 e com gateway ou portal GlobalProtect configurado. Versões 10.1 e anteriores, Cloud NGFW, Panorama e Prisma Access ficaram de fora. O mesmo aviso mostra onde conferir: no menu Network, em GlobalProtect, nas telas de Gateways e Portals.

A versão também precisa ser lida com cuidado. O aviso da Palo Alto lista como correção as versões 10.2.9-h1, 11.0.4-h1 e 11.1.2-h3, além de hotfixes para outras versões de manutenção. O sufixo "-h" indica hotfix. Um firewall na 11.1.2 sem o sufixo continuava vulnerável.

A mitigação provisória ainda vale?

Desconfie de qualquer orientação copiada de textos antigos. No começo do caso, circulou a recomendação de desligar a telemetria do equipamento. A própria Palo Alto revisou o aviso e passou a afirmar que desativar a telemetria deixou de ser uma mitigação eficaz e que a falha podia ser explorada com a telemetria desligada.

Pelo aviso atualizado, as medidas válidas eram duas. A primeira é instalar a versão corrigida, que impede a execução remota de comandos. A segunda, provisória, é ativar as assinaturas de Threat Prevention 95187, 95189 e 95191, com a proteção de vulnerabilidades aplicada na interface do GlobalProtect. Restringir o acesso à tela de administração é uma boa prática, mas não resolvia esta falha, que estava no serviço de VPN usado pelos funcionários.

Quanto tempo você tem para corrigir?

Quando a falha já está sendo explorada, o prazo é de dias. O catálogo KEV da CISA registra que a CVE-2024-3400 entrou na lista em 12/04/2024 com prazo de correção em 19/04/2024 para os órgãos federais americanos: uma semana. A CISA recomenda que outras organizações usem o catálogo como insumo para decidir o que corrigir primeiro.

Para a sua empresa, a regra prática é esta: falha crítica em equipamento exposto à internet e presente no KEV entra na frente de qualquer outra tarefa de TI. Agende a janela de manutenção para a mesma semana, avise a equipe sobre a queda curta da VPN e registre a data da correção.

E se o equipamento já foi invadido?

A correção fecha a porta, mas não expulsa quem já entrou. A Volexity alerta que o patch e a assinatura não removem um comprometimento existente. Antes de atualizar, guarde os registros. A Palo Alto orienta gerar o arquivo de suporte técnico (TSF) antes de reiniciar na versão nova, porque os registros antigos ficam inacessíveis depois.

A unidade de pesquisa da Palo Alto, a Unit 42, classificou os casos em quatro níveis, do nível 0 (tentativa sem sucesso) ao nível 3 (acesso interativo com backdoor). Segundo a Unit 42, a maioria dos casos atendidos foi de tentativas sem sucesso. Para quem chegou ao nível 2 ou 3, a Palo Alto ofereceu uma restauração de fábrica reforçada pelo suporte técnico.

Se houver sinal de invasão, trate como comprometidas todas as senhas e chaves guardadas no firewall e troque-as. Verifique também conexões que saíram do firewall para servidores internos. Se houver dado pessoal envolvido, o art. 48 da LGPD manda o controlador comunicar à ANPD e aos titulares o incidente que possa acarretar risco ou dano relevante. Leve essa avaliação ao seu jurídico.

Por onde começar na sua empresa?

Comece pela lista dos equipamentos de borda, com versão e data da última atualização. Em seguida, defina quem acompanha os avisos dos fabricantes e qual é o prazo interno para falhas críticas. Para a rotina mensal dos computadores e servidores Windows, veja como organizar o Patch Tuesday.

Os analistas da CyberArmor fazem esse levantamento no Diagnóstico de máquinas, um projeto de duas semanas que mostra o que está exposto, desatualizado ou mal configurado. Depois, o serviço de Hardening e conformidade de servidores ajusta as configurações para fechar o que foi encontrado. Falar com um especialista.

Fontes