Pesquisadores da Mandiant, empresa de cibersegurança pertencente ao Google, identificaram uma vulnerabilidade crítica no KnowledgeDeliver, sistema de gestão de aprendizagem (LMS) amplamente utilizado por empresas e instituições de ensino no Japão. A falha, catalogada como CVE-2026-5426, teria sido explorada por agentes maliciosos ainda no fim de 2025 para comprometer servidores, instalar backdoors e infectar dispositivos dos próprios usuários da plataforma.
Segundo a investigação, o problema estava relacionado à forma como o sistema gerenciava chaves criptográficas utilizadas para proteger informações trocadas entre o servidor e o navegador dos usuários.
O erro que abriu caminho para os ataques
Todo sistema baseado na web utiliza mecanismos internos de autenticação para garantir que dados trafegados entre usuários e servidores não sejam manipulados indevidamente. No caso do KnowledgeDeliver, essas proteções dependiam de chaves criptográficas responsáveis por validar informações processadas pela plataforma.
O problema identificado pela Mandiant é que o software vinha com essas chaves pré-configuradas pelo fabricante — e, pior, iguais em todas as instalações do sistema.
Na prática, isso significava que organizações diferentes utilizavam exatamente as mesmas credenciais internas de validação. Se um atacante obtivesse essas chaves, poderia reproduzir ataques contra qualquer instância vulnerável do KnowledgeDeliver sem precisar de acesso prévio ou credenciais legítimas.
Como a vulnerabilidade funcionava
A plataforma utiliza a tecnologia ASP.NET, que emprega um mecanismo chamado ViewState para preservar o estado de uma página durante a interação do usuário.
Em termos simples, o ViewState funciona como um pacote de informações que ajuda o sistema a “lembrar” ações realizadas entre uma página e outra.
Com acesso às chaves criptográficas do sistema, os invasores conseguiam forjar um ViewState adulterado e enviá-lo ao servidor como se fosse legítimo.
Ao processar esse pacote falso, o servidor acabava executando comandos arbitrários enviados pelos criminosos, abrindo caminho para um ataque de execução remota de código (RCE) — um dos cenários mais críticos em segurança digital, pois permite controle direto sobre a máquina comprometida.
O que os invasores fizeram após obter acesso
Depois de invadir os servidores, os atacantes instalaram um web shell chamado BLUEBEAM, também conhecido como Godzilla.
Esse tipo de ferramenta permite manter acesso remoto persistente ao ambiente invadido, funcionando como uma porta dos fundos (backdoor). Segundo a Mandiant, o BLUEBEAM operava inteiramente na memória do servidor, o que dificultava sua detecção por ferramentas tradicionais de segurança.
Após consolidar o acesso, os criminosos expandiram o controle sobre a infraestrutura comprometida.
Os investigadores descobriram que os atacantes alteraram permissões da pasta principal da aplicação web para permitir modificações irrestritas nos arquivos. Em seguida, adulteraram um arquivo JavaScript legítimo do sistema.
Esse arquivo modificado passou a exibir um falso alerta de segurança para os usuários do LMS, incentivando a instalação de um suposto “plugin de autenticação de segurança”.
Enquanto a mensagem era exibida, um script malicioso era carregado silenciosamente a partir de um domínio controlado pelos atacantes.
O resultado final era a instalação do Cobalt Strike, ferramenta originalmente criada para testes de segurança, mas frequentemente utilizada por grupos criminosos para manter acesso remoto persistente a ambientes comprometidos.
De acordo com a Mandiant, o malware estava criptografado com chaves contendo o nome da organização atacada, um indício de que a campanha foi personalizada para alvos específicos.
Quem está em risco
A recomendação da Mandiant é clara: todas as instalações do KnowledgeDeliver realizadas antes de 24 de fevereiro de 2026 devem ser consideradas potencialmente vulneráveis.
Organizações que utilizam a plataforma precisam agir rapidamente para reduzir riscos.
O que as empresas devem fazer agora
Entre as medidas recomendadas pelos especialistas estão:
- Gerar novas chaves criptográficas exclusivas para cada instância do sistema;
- Substituir imediatamente configurações padrão herdadas do fabricante;
- Restringir o acesso ao LMS apenas a endereços IP autorizados da organização;
- Revisar logs de eventos e atividades em busca de sinais de exploração;
- Investigar possíveis alterações não autorizadas em arquivos da aplicação;
- Monitorar endpoints corporativos para identificar presença de backdoors ou ferramentas como Cobalt Strike.
Especialistas alertam que falhas envolvendo configurações padrão continuam entre os erros mais perigosos em aplicações corporativas, especialmente quando expostas à internet. Em cenários como este, uma única vulnerabilidade pode comprometer não apenas servidores internos, mas também os próprios usuários que utilizam a plataforma diariamente.
