CVE-2018-9276

Injeção de comandos de sistema operacional (CWE-78) no PRTG Network Monitor da Paessler, versões anteriores à 18.2.39, explorável por um usuário já autenticado com privilégios administrativos no console web 'PRTG System Administrator'. O CVSS 7.2 já reflete essa exigência de privilégio alto (PR:H); a falha não é pré-autenticação. O ponto relevante é que a CISA incluiu a CVE no catálogo KEV somente em fevereiro de 2025 — quase sete anos após a divulgação — indicando exploração ativa contínua contra instâncias desatualizadas, provavelmente via credenciais de administrador padrão ou comprometidas.

A falha está nos formulários de gerenciamento de sensores e, principalmente, de notificações do PRTG. O tipo de notificação 'EXE/Script' (e variantes como notificação de execução de script Windows) recebe do administrador um caminho de arquivo e parâmetros que são concatenados e passados para execução de shell no host onde o PRTG core service roda (tipicamente Windows) sem sanitização adequada de metacaracteres de shell.

O PoC público (exploit-db 46527) demonstra isso criando, via POST autenticado ao endpoint editsettings/editnotification.htm, um objeto de notificação em que o campo de mensagem/endereço da ação 'EXE/Script' contém, além do caminho de arquivo esperado, um separador de comando seguido de um comando adicional (no exemplo, criação de um usuário administrativo via 'net user'). Quando a notificação é disparada — inclusive de forma forçada pelo próprio atacante via api/notificationtest.htm — o PRTG executa a string inteira em um shell, rodando o comando injetado com os privilégios do serviço PRTG (geralmente SYSTEM ou administrador local).

A descrição oficial menciona que a injeção ocorre 'tanto no servidor quanto em dispositivos', o que sugere que sensores/notificações endereçados a probes remotos também podem propagar a execução de comando para hosts monitorados, não só para o servidor central do PRTG.

Pré-requisito real: sessão autenticada com privilégios administrativos no console web do PRTG (cookie de sessão válido de conta no grupo 'PRTG Administrators'). Não há bypass de autenticação nesta CVE — o atacante precisa já ter esse acesso. Na prática, isso é obtido por credenciais padrão não alteradas (o próprio PoC cita 'prtgadmin/prtgadmin' como default), reuso/vazamento de credenciais, phishing contra administradores, ou encadeamento com outra falha que eleve privilégios ou roube sessão.

Com a sessão em mãos, a exploração é trivial e automatizável: requisições POST para os endpoints de edição de notificação criam o objeto malicioso, e uma chamada subsequente ao endpoint de teste de notificação dispara a execução imediatamente — sem interação de outro usuário. Existe módulo Metasploit e o PoC em exploit-db/Packet Storm automatiza esse fluxo completo, criando um usuário administrador local no Windows como prova de RCE.

A presença na lista KEV da CISA confirma exploração em ambiente real, embora a CISA não detalhe campanhas específicas — a nota aponta apenas para o changelog do fornecedor e o NVD, sem indicar uso conhecido em ransomware.

Atualizar para PRTG Network Monitor 18.2.39 ou versão posterior, que corrige a falta de sanitização nos parâmetros de notificação/sensor. Esse é o fix do fornecedor citado tanto na descrição oficial quanto na nota da CISA no KEV, que referencia o changelog oficial (paessler.com/prtg/history/prtg-18#18.2.39).

Se a atualização não for imediata: restringir o acesso à interface administrativa do PRTG (rede segmentada, VPN, allowlist de IP, sem exposição direta à internet), eliminar credenciais padrão (prtgadmin/prtgadmin) e impor senhas fortes e únicas para contas com privilégio administrativo, e revisar/restringir quem tem acesso ao grupo 'PRTG Administrators'. Auditar periodicamente notificações e sensores customizados por ações do tipo 'EXE/Script' incomuns.

O que não resolve: assumir que o requisito de privilégio administrativo (PR:H) torna a falha de baixo risco. Como a própria listagem no KEV demonstra, sete anos depois da correção ainda há exploração ativa — a causa provável é acesso administrativo comprometido por credenciais fracas/padrão, não a dificuldade técnica da injeção em si.

Nos logs de auditoria/histórico de notificações do PRTG, procurar criação ou edição de notificações do tipo 'EXE/Script' com caminhos ou argumentos que referenciem cmd.exe, powershell.exe, net.exe ou comandos fora do padrão esperado de scripts legítimos. Nos logs do servidor web, requisições POST para /editsettings, /editnotification.htm e /api/notificationtest.htm partindo de IPs ou horários incomuns merecem revisão, especialmente em sequência rápida (criação seguida de disparo imediato).

No host Windows, o indicador mais forte é o processo do serviço PRTGCoreService.exe gerando processos filhos como cmd.exe, powershell.exe ou net.exe fora de janelas de manutenção conhecidas — isso é um sinal de exploração bem-sucedida, não apenas de tentativa. Não há assinatura de rede confiável isolada, já que o tráfego é HTTP(S) autenticado e legítimo em sua estrutura; a detecção depende de contexto (conteúdo do payload) e de telemetria de processo no host.