Notícia
CVSS 10 na ASUS Control Center Enterprise: sem senha nem interação, invasor abre backdoor SSH e assume root da frota gerenciada
Rodrigo ColissiResumo: a ASUS (fabricante de hardware e software) publicou um alerta de segurança urgente para o ASUS Control Center Enterprise (plataforma de gerência central de servidores e PCs) após pesquisadores encontrarem uma falha de severidade máxima. Rastreado como CVE-2026-75754, o bug tem nota 10.0 na escala CVSS 4.0 e permite a um atacante remoto assumir controle administrativo completo da plataforma e de todos os dispositivos que ela gerencia — sem senha e sem qualquer interação da vítima.
Introdução
Em 06/09/2026 a ASUS divulgou uma atualização de segurança urgente para o ASUS Control Center Enterprise, o ACC. O motivo: uma vulnerabilidade de severidade máxima, o CVE-2026-75754, que permite a um atacante remoto — sem autenticação e sem interação com o usuário — assumir o controle administrativo completo da plataforma e, por tabela, de toda a frota de máquinas que ela gerencia.
A nota é a mais alta possível: 10.0 na escala CVSS 4.0. O CVSS (Common Vulnerability Scoring System: escala padrão de severidade de vulnerabilidades, de 0 a 10) reflete aqui dois fatos duros: o bug é explorável pela rede com extrema facilidade, e o impacto de uma exploração bem-sucedida é catastrófico para a organização alvo.
Contexto: quando o painel de gerência vira a porta de entrada
O ACC é o tipo de software que só existe em ambientes corporativos: ele centraliza a administração de frotas inteiras de servidores, PCs e workstations. Em vez de a equipe de TI visitar máquina por máquina, o painel do ACC aplica políticas, instala pacotes e roda tarefas em centenas de equipamentos a partir de um único ponto.
É exatamente essa centralização que torna o bug tão grave. Um software de gerência concentra privilégios de forma natural — e quando um atacante toma o controle dele, não conquista uma máquina: conquista a chave do cofre. Uma única instância do ACC comprometida pode dar a um invasor acesso remoto a todo o parque de máquinas da empresa, incluindo servidores que rodam cargas de produção.
A cadeia das três falhas: por que um bug vira uma porta traseira
O CVE-2026-75754 não é uma falha isolada, e sim uma cadeia de três vulnerabilidades distintas que se encadeiam: a ausência de autenticação em uma função crítica, um SSRF que expõe a chave de criptografia do sistema e credenciais hardcoded no software. Sozinhas, cada uma já seria um problema; juntas, formam um caminho completo até o controle root. Abaixo apresentamos o fluxo da cadeia e detalhamos cada elo.
Cadeia de exploração do CVE-2026-75754
A função crítica sem autenticação
O primeiro elo é o mais básico e, ao mesmo tempo, o mais grave: o ACC expõe uma função sensível sem exigir autenticação. Qualquer pessoa capaz de alcançar o serviço pela rede consegue disparar operações críticas — sem usuário, sem senha, sem token. É o que transforma o bug em um ataque remoto trivial, sem interação da vítima e sem necessidade de nenhum pré-requisito além de conectividade com a interface do ACC.
O SSRF que entrega a chave de criptografia
O segundo elo é um SSRF (server-side request forgery: técnica em que o atacante faz o servidor realizar requisições em seu lugar, alcançando recursos internos que não deveriam estar expostos). Com uma requisição HTTP especialmente construída, o invasor engana o ACC para que ele acesse recursos internos em seu nome — e é assim que o sistema acaba revelando a própria chave de criptografia.
Essa chave é o ingrediente que falta para a mágica acontecer: de posse dela, um serviço local da máquina automaticamente habilita um listener de SSH (protocolo de acesso remoto seguro) na porta TCP 2222. Na prática, o próprio software abre uma porta traseira silenciosa no host — sem que ninguém precise instalar nada.
O backdoor SSH com credenciais hardcoded
O elo final é o mais danoso da cadeia: o ACC contém credenciais hardcoded (usuário e senha embutidos diretamente no código do software). Quem obtém a chave de criptografia usa essas credenciais fixas para logar direto no recém-aberto SSH da porta 2222 e cair em um shell root (terminal com privilégios máximos do sistema operacional).
De posse do root, o atacante pode ler, modificar e apagar qualquer dado armazenado pelo ACC. E como a plataforma gerencia frotas inteiras, esse acesso vira um controle remoto sobre o ambiente de TI corporativo como um todo — leitura de credenciais de outros sistemas, instalação de malware, movimento lateral pela rede.
Como detectar a porta traseira na rede
A boa notícia é que o backdoor deixa rastros detectáveis. A porta 2222 aberta e listeners SSH inesperados são sinais concretos que podem ser encontrados com varredura ativa e monitoramento contínuo.
Varredura ativa com nmap. O nmap (ferramenta de varredura e mapeamento de redes) é a forma mais direta de procurar a porta 2222 aberta nos hosts da rede, especialmente nos segmentos onde o ACC roda:
nmap -p 2222 --open <rede>Busca por exposição pública. O Shodan (mecanismo de busca de dispositivos e serviços expostos na internet) ajuda a verificar se alguma instância do ACC — e a porta 2222 — está acessível a partir da internet, sem precisar de acesso interno à rede da empresa.
Monitoramento contínuo com Wazuh. O Wazuh (plataforma open source de SIEM e detecção de intrusão) pode ser configurado para alertar quando um novo listener SSH aparece em um host ou quando há conexões de entrada na porta 2222 — um comportamento que o ACC legítimo não deveria ter em operação normal.
Análise estática do binário. Credenciais embutidas como as do ACC não são segredo para análise estática: ferramentas como o pestudio (software de análise estática de binários, usado para inspecionar executáveis e localizar strings sensíveis) são exatamente o tipo de recurso que pesquisadores usam para encontrar usuários, senhas e chaves escondidas no código de um executável.
Como se proteger
Isolar a gerência da internet. Enquanto o patch não for aplicado, a medida mais importante é tirar a interface de gerência do ACC de qualquer rede pública: a cadeia inteira começa com acesso remoto ao serviço. Interfaces de gerência devem viver em segmentos segregados, acessíveis apenas por redes administrativas out-of-band (fora de banda: caminhos de acesso separados da rede principal de produção).
Bloquear a porta 2222. Regras de firewall devem bloquear tráfego de entrada e de saída na porta TCP 2222 — é a porta que o backdoor usa, tanto para o listener quanto para o login remoto. Sem ela, mesmo uma instância comprometida perde o canal de comando mais óbvio.
Auditar listeners SSH. Liste os processos que escutam na porta 22 e em portas alternativas em todos os hosts da rede. Um listener SSH que aparece sozinho, sem ter sido configurado pela equipe, é um forte indicador de comprometimento — vale o mesmo raciocínio para qualquer serviço novo que comece a escutar em portas incomuns.
Monitorar e alertar. Configure o Wazuh para detectar novos listeners e conexões na porta 2222 e integre os alertas ao fluxo do SOC. A detecção precoce transforma uma backdoor em ruído antes que ela vire ransomware ou exfiltração de dados.
Atualizar assim que possível. A ASUS orienta todas as organizações que rodam o ACC a atualizar imediatamente para a versão 3.1.0.9 ou posterior. Um detalhe que confunde a priorização: a correção vem numa linha de versão numericamente menor que a afetada — todas as versões até 4.0.0.2 (inclusive) são vulneráveis, e a correção indicada é a 3.1.0.9+. É uma numeração incomum da ASUS, então confirme sempre a versão exata instalada em cada instância antes de marcar o parque como atualizado.
Conclusão
O CVE-2026-75754 é um caso de estudo de como três falhas medianas viram uma cadeia de severidade máxima: uma função sem autenticação entrega o acesso, um SSRF exfiltra a chave do sistema e credenciais hardcoded transformam tudo em um shell root permanente. O resultado é um 10.0 na escala CVSS 4.0 — e, mais importante, um software de gerência que, comprometido, entrega ao atacante a frota inteira da empresa. Para quem roda o ACC, a janela de risco é curta e a mensagem é clara: isolar a gerência, bloquear a 2222, auditar listeners e aplicar a correção da ASUS (3.1.0.9+) antes que a cadeia seja usada contra você.
Perguntas frequentes
O que é o CVE-2026-75754?
É uma vulnerabilidade de severidade máxima (CVSS 4.0 = 10.0) no ASUS Control Center Enterprise. Ela combina três falhas — ausência de autenticação em uma função crítica, SSRF e credenciais hardcoded — para permitir que um atacante remoto abra um backdoor SSH e obtenha um shell root na máquina.
Por que a nota CVSS é 10.0?
Porque a exploração é trivial pela rede (sem senha e sem interação da vítima) e o impacto é máximo: o atacante obtém controle administrativo completo do ACC e, por extensão, da frota de servidores e PCs que ele gerencia.
Quais versões do ASUS Control Center Enterprise são afetadas?
Todas até a 4.0.0.2, inclusive. A correção indicada pela ASUS é a versão 3.1.0.9 ou posterior — uma numeração incomum, já que a versão corrigida é numericamente menor que a afetada. Confirme a versão exata instalada em cada instância.
Como funciona a cadeia das três falhas?
Uma função crítica do ACC não exige autenticação e pode ser acionada por qualquer pessoa na rede. Um SSRF então faz o sistema revelar a própria chave de criptografia, que ativa automaticamente um listener SSH na porta 2222. Por fim, credenciais hardcoded no software permitem logar nesse SSH e obter um shell root.
O que é SSRF?
Server-side request forgery é uma técnica em que o atacante faz o servidor realizar requisições em seu lugar, alcançando recursos internos que não deveriam estar expostos. No caso do ACC, o SSRF foi usado para exfiltrar a chave de criptografia do sistema.
Uma instância comprometida compromete a frota inteira?
Sim. O ACC é uma plataforma de gerência central: uma única instância controla frotas de servidores, PCs e workstations. Com root no ACC, o atacante lê, modifica e apaga dados, instala malware e se move lateralmente por todo o ambiente gerenciado.
Não consigo atualizar agora. O que faço?
Aplique as mitigações temporárias: isole a interface de gerência do ACC de redes públicas, bloqueie tráfego de entrada e saída na porta TCP 2222 e audite os hosts em busca de listeners SSH inesperados. Isso reduz a exposição, mas não substitui o patch.
Como detecto backdoors SSH na minha rede?
Varredura ativa com nmap na porta 2222, buscas no Shodan por instâncias expostas e monitoramento contínuo com Wazuh para novos listeners e conexões incomuns. Listeners SSH que aparecem sem configuração da equipe são um forte indicador de comprometimento.
Fontes e leituras adicionais
- Cyber Security News — ASUS Control Center Vulnerability Allows Attackers to Gain Full Admin Control of the System — 06/09/2026
- ASUS — Security Advisory — ASUS Control Center Enterprise — 06/09/2026
- NVD — CVE-2026-75754 Detail — 2026