Sophos Firewall: hotfix para a falha CVE-2026-98432
A Sophos disponibilizou um hotfix do kernel para CVE-2026-98432. Um aspeto essencial para a operação: uma atualização descarregada só protege a firewall após o reinício necessário. Por isso, mesmo quando se confia na distribuição automática de hotfixes, é necessário verificar o estado da instalação e planear uma janela de manutenção.
Este artigo distingue a vulnerabilidade técnica do procedimento de atualização específico dos dispositivos Sophos. Fontes verificadas em: 11 de novembro de 2026. As páginas do fabricante aqui ligadas poderão acrescentar outras versões de firmware posteriormente.
Que versões Sophos exigem atenção?
Estão disponíveis as seguintes correções para estes produtos e versões SFOS:
| Produto / versão | Correção disponível |
|---|---|
| SFOS 22.0 MR3 | Hotfix HF110626.1, reinício necessário |
| SFOS 23.0 GA | Hotfix HF110626.1, reinício necessário |
| SFOS 23.0 EAP1 | Hotfix HF110626.1, reinício necessário |
| Outras versões SFOS | O aviso verificado não indica outras versões que recebam o hotfix; a Sophos recomenda atualizar para 22.0 MR3 ou 23.0 |
| Sophos SD-RED 20 / SD-RED 60 | Firmware RED separado 3.0.012 |
Esta tabela apresenta as correções disponíveis, não uma lista completa de todas as compilações vulneráveis. A Sophos não publica nesse aviso uma matriz exaustiva que identifique a primeira e a última versão SFOS vulnerável. Por isso, a ausência de uma versão na tabela não permite concluir que esteja protegida. Isto aplica-se, por exemplo, à avaliação de uma instalação com SFOS 21.5 ou 22.0 MR2.
Antes de mudar de versão, é necessário verificar o percurso de atualização suportado e a compatibilidade do hardware. O artigo sobre SFOS 22.0 MR3 contextualiza esta versão de manutenção; a apresentação de Sophos Firewall v23 descreve a nova versão principal. Num sistema de produção, deve escolher-se deliberadamente uma versão final adequada. O facto de a EAP1 receber um hotfix não justifica mudar para uma versão preliminar apenas para obter esta correção.
Como pode ser explorada a falha do kernel?
CVE-2026-98432 afeta um erro use-after-free no processamento TCP IPv4 do kernel Linux. Neste caso, um fluxo de processamento acede a memória que já foi libertada. A race condition subjacente resulta dos seguintes processos paralelos:
- Durante o estabelecimento de uma ligação TCP, os dados das opções IPv4 são transferidos entre estruturas internas de sockets.
- Em paralelo, outro núcleo do processador pode tratar um SYN retransmitido e preparar uma resposta SYN-ACK.
- Se a estrutura associada for libertada entretanto, o processamento paralelo pode ainda aceder aos respetivos dados de opções.
Uma race condition é um erro cuja ocorrência depende da interação temporal entre processos paralelos. Para um ataque ter sucesso, o processamento de rede e o estado da memória têm de coincidir de forma adequada. O simples estabelecimento de uma ligação normal não demonstra, por isso, uma exploração bem-sucedida.
Segundo a Sophos, em determinadas condições é possível a execução remota de código sem autenticação, com privilégios de kernel. A demonstração de laboratório descrita publicamente foi realizada contra um servidor com um listener Multipath TCP (MPTCP). Isto não constitui uma prova publicada de comprometimento bem-sucedido de uma Sophos Firewall. Também não permite concluir que desativar apenas o MPTCP elimine a vulnerabilidade subjacente.
A Sophos classifica o seu aviso como High e refere diferentes pontuações CVSS: 9,8 pela CNA do kernel Linux e 5,9 pela Red Hat, devido à race condition. De acordo com a informação do aviso, atualizado pela última vez a 6 de novembro, a Sophos não tinha conhecimento de relatos públicos de exploração ativa. Esta declaração, datada, não garante a ausência de ataques.
Na prática, a acessibilidade e o estado das correções devem ser avaliados separadamente. Restringir o acesso de administração é útil, mas não prova que o processamento do kernel afetado esteja inacessível. Da mesma forma, uma autenticação bem-sucedida com MFA nada indica sobre a proteção contra um ataque sem autenticação.
Instruções: instalar o hotfix na firewall
1. Preparar a manutenção
Antes de intervir, criar uma cópia de segurança atual da configuração e esclarecer as possibilidades de recuperação. Para instalações remotas, deve prever-se um acesso alternativo de administração ou uma pessoa contactável no local. Isto é particularmente importante quando a única ligação à firewall utiliza o túnel VPN que será interrompido durante o reinício.
Para a verificação posterior, preparar uma lista curta das ligações críticas para a atividade: acesso à Internet, DNS, VPN site-to-site, acesso remoto e aplicações publicadas. Um ping bem-sucedido após a manutenção não substitui um teste funcional destes serviços.
Se estiver instalada uma versão SFOS diferente das indicadas acima, começar por planear a atualização do firmware. O procedimento é descrito no guia Atualizar o firmware SFOS. Planear a atualização de firmware e a instalação do hotfix como etapas de trabalho distintas.
2. Verificar a transferência e a instalação
Iniciar sessão no WebAdmin e procurar no Control center a mensagem sobre o hotfix do kernel descarregado que exige um reinício.
Se os hotfixes automáticos estiverem desativados, abrir 4 – Device Console na CLI e ativá-los:
system hotfix enableAguardar a transferência. Após uma atualização de firmware necessária, o hotfix só ficará disponível posteriormente; a sua aplicação exige outro reinício.
Reiniciar a firewall durante a janela de manutenção. O tráfego será interrompido.
Em seguida, verificar na Device Console:
system hotfix list
O elemento decisivo é a entrada HF110626.1 com o estado Installed. A simples presença do hotfix na lista não basta. Em SFOS 23.0, a página Hotfix: Security updates pode continuar vazia apesar da instalação; para esse caso, a Sophos indica a verificação pela CLI.
3. Documentar o resultado
Como comprovativo operacional, registar o nome do dispositivo, a versão SFOS, a data e hora da manutenção e o estado verificado do hotfix. Depois, realizar os testes de ligação preparados. Assim, distingue-se a instalação bem-sucedida do restabelecimento da atividade normal.
Se o hotfix não aparecer ou o seu estado continuar pouco claro, não considerar a manutenção concluída. Primeiro, comparar a versão de firmware, a definição dos hotfixes e a mensagem de transferência. Se o problema persistir, contactar o suporte do fabricante com estas informações. Reinícios repetidos sem novos elementos não são uma forma fiável de resolver a falha.
Cluster HA: atualizar ambos os dispositivos
A Sophos define uma sequência: verificar a mensagem de transferência em ambos os dispositivos, reiniciar primeiro o dispositivo Auxiliary, aguardar o seu regresso e depois reiniciar o dispositivo Primary. Ambos os dispositivos precisam do hotfix. Segundo as instruções, o comando CLI que lista os hotfixes está atualmente disponível apenas no dispositivo que desempenha a função Primary.
Mesmo quando a gestão é feita através do Sophos Fusion, é necessário incluir o dispositivo Auxiliary. Após o failover, a mensagem pode voltar a aparecer porque se refere ao outro dispositivo, que passou a estar ativo.
Antes do segundo reinício, deve também verificar-se se o parceiro está novamente operacional e se o cluster apresenta um estado saudável. Um par HA não justifica anunciar a manutenção como garantidamente isenta de interrupções: o failover e o comportamento das sessões devem ser considerados no planeamento. Para concluir, registar ambos os dispositivos individualmente no relatório de manutenção e testar as aplicações através do cluster.
Atualizar separadamente SD-RED 20 e SD-RED 60
O hotfix da firewall não substitui a atualização RED. Para SD-RED 20 e SD-RED 60, a Sophos indica o firmware 3.0.012, publicado a 5 de novembro:
- No WebAdmin, abrir Backup & Firmware > Pattern Updates.
- Se o firmware SD-RED for anterior a 3.0.012, executar Update Pattern Now.
- Utilizar Install para distribuir o firmware pelos dispositivos SD-RED ligados. Estes reiniciam durante a instalação.
Para a distribuição, a Sophos indica como requisitos SFOS 20.0 MR3 e posterior ou SFOS 21.0 MR1 e posterior. Estes dados referem-se à distribuição da atualização RED e não devem ser confundidos com as versões que recebem o hotfix da firewall. Os modelos RED antigos cujo suporte terminou não recebem esta correção.
Após o reinício, deve testar-se uma aplicação através da ligação RED em cada instalação remota. Com vários dispositivos, uma lista de locais com a versão de firmware e o resultado da verificação ajuda a acompanhar o processo: a atualização bem-sucedida de um dispositivo não comprova o estado de todas as outras instalações.
Perguntas frequentes sobre a manutenção
Basta reiniciar sem uma mensagem de hotfix visível?
Um reinício, por si só, não comprova de forma fiável a instalação. Para concluir o trabalho, é necessário verificar o estado de HF110626.1. Sem esse comprovativo, a instalação continua por confirmar.
Podem aplicar-se soluções temporárias Linux à Sophos Firewall?
Nos dispositivos Sophos, deve seguir-se o procedimento do fabricante. A Sophos distingue expressamente as suas orientações gerais para Linux da correção específica do produto. Por isso, não se devem aplicar ao appliance alterações próprias a parâmetros do kernel ou a filtros de pacotes retiradas de um guia Linux.
Fontes
