CVE-2026-25108

Vulnerabilidade de OS command injection (CWE-78) no FileZen, solução de transferência segura de arquivos da Soliton Systems, que permite a um usuário autenticado executar comandos arbitrários no sistema operacional subjacente através de um campo específico da tela pós-logon. Exige que a opção de verificação de antivírus (Antivirus Check Option, baseada em BitDefender) esteja habilitada — quem não comprou essa licença não é afetado. Está no catálogo KEV da CISA com exploração confirmada pelo próprio fornecedor, mesmo com EPSS baixo (0.05), o que mostra que o score de probabilidade genérico não captura bem produtos de nicho já sob ataque direcionado.

A falha está em um campo específico da tela exibida após o login no FileZen, usado pela funcionalidade de verificação antivírus (Antivirus Check Option). O input desse campo é passado para um comando do sistema operacional sem sanitização adequada, permitindo injeção de comandos arbitrários — clássico CWE-78. O fornecedor não detalhou publicamente qual campo ou parâmetro HTTP é o vetor exato, apenas confirmou que a exploração ocorre via requisição HTTP especialmente construída enviada por um usuário já logado.

O vetor CVSS 4.0 (AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H) indica ataque remoto, sem interação do usuário-vítima, mas com privilégio baixo (PR:L) — ou seja, exige uma sessão autenticada, ainda que de usuário comum, sem privilégios administrativos. O impacto é total: confidencialidade, integridade e disponibilidade em nível alto (VC:H/VI:H/VA:H), coerente com execução arbitrária de comando no host.

A condição de habilitação da verificação antivírus não é cosmética: o código vulnerável só é alcançável quando essa opção está ativa, o que na prática restringe a exposição a instalações que compraram a licença BitDefender integrada ao FileZen. Instalações sem essa feature ativa não expõem o caminho de código afetado, apesar de rodarem a mesma versão de firmware.

Exploração real exige duas pré-condições simultâneas, segundo o próprio fornecedor: (1) a opção de verificação de antivírus habilitada no FileZen; e (2) o atacante conseguir autenticar-se como usuário legítimo no portal web do FileZen — via vazamento de credenciais de pelo menos uma conta, ou adivinhação/força bruta de usuário e senha bem-sucedida. Sem login válido, o campo vulnerável não é alcançável.

Uma vez autenticado, mesmo como usuário comum sem privilégios administrativos, o atacante envia uma requisição HTTP manipulada contra a tela pós-logon, injetando comando no campo relacionado à checagem antivírus. O resultado é execução de comando arbitrário no sistema operacional do appliance FileZen, com potencial de comprometimento total do host (leitura/escrita de arquivos, pivotamento na rede interna, exfiltração dos arquivos geridos pela solução).

A Soliton confirmou ter recebido ao menos um relatório de incidente com evidência de exploração bem-sucedida antes da divulgação pública, o que motivou a entrada no catálogo KEV da CISA (adicionada em 24/02/2026, com prazo de correção até 17/03/2026). Não há indicação de exploração automatizada em massa nem de PoC público — o padrão observado é consistente com ataque direcionado que já dispunha de credencial válida.

A correção definitiva é atualizar o FileZen para a versão V5.0.11 ou superior — o pacote de atualização que já havia sido lançado em 13/01/2026 antes da divulgação formal da CVE. O fornecedor afirma explicitamente que não existe workaround funcional para as versões V4.2.1 a V5.0.10 quando as duas condições de exploração (antivírus habilitado + possibilidade de login) estão presentes — ou seja, ajustar configuração não neutraliza a falha nessas versões, só a atualização resolve.

Como mitigação de exposição (não de correção), desabilitar a opção Antivirus Check Option remove o pré-requisito que torna o código vulnerável alcançável, mas tem custo real: perda da varredura antivírus integrada nos arquivos transitados pela plataforma até que a atualização seja aplicada. Não deve ser tratado como solução, apenas como redução temporária de superfície.

Quem suspeita de exploração — por ter identificado vazamento de credencial de qualquer usuário do FileZen, mesmo que não administrador — deve, além de atualizar, trocar as senhas de todos os usuários, já que o pré-requisito de ataque é justamente posse de uma credencial válida. Não há indicação de que restrição por WAF ou filtro de rede resolva de forma confiável, pois a exploração ocorre com sessão HTTP autenticada legítima.

O fornecedor afirma que o FileZen não possui função explícita para confirmar que a vulnerabilidade foi explorada. O único sinal indireto disponível é o recurso de monitoramento de arquivos em diretórios do sistema: se o atacante manipulou arquivos nesses diretórios após a injeção de comando, isso pode aparecer nos logs do produto. A Soliton disponibiliza instruções detalhadas de verificação apenas via canal de suporte contratual, não publicamente — organizações com contrato de suporte devem solicitar esse procedimento diretamente ao fornecedor ou ao revendedor.

Como pré-requisito de ataque é login válido, revisão de logs de autenticação (tentativas de força bruta, logins de IPs/geolocalizações incomuns, uso de credenciais fora do padrão de uso do usuário) é o sinal mais acessível para detectar tentativa de exploração antes ou durante o ataque.