Administradores que utilizam o VMware Avi Load Balancer precisam priorizar uma nova rodada de atualizações de segurança. A Broadcom disponibilizou correções para sete vulnerabilidades no produto, incluindo uma falha crítica que pode permitir que um atacante com acesso à rede ultrapasse o mecanismo de autenticação e alcance o plano de controle da plataforma.
A vulnerabilidade mais grave é identificada como CVE-2026-47865 e recebeu pontuação 9,8 de 10 no CVSS v3, colocando-a na categoria crítica.
Segundo o alerta oficial da Broadcom, um usuário malicioso com acesso de rede pode explorar o problema para acessar o Avi Control Plane sem passar adequadamente pelo mecanismo de autenticação.
O conjunto de correções também inclui vulnerabilidades capazes de permitir execução remota de código, escalada de privilégios e acesso indevido a componentes da plataforma.
Por que a CVE-2026-47865 é a falha mais preocupante
A autenticação é uma das primeiras barreiras responsáveis por impedir que usuários não autorizados acessem os componentes administrativos de uma infraestrutura.
Uma vulnerabilidade capaz de contornar essa camada muda significativamente o cenário de risco.
No caso da CVE-2026-47865, a Broadcom afirma que um atacante com acesso de rede pode alcançar o plano de controle do Avi Load Balancer contornando a autenticação.
Isso é particularmente relevante porque o Avi Controller exerce uma função central dentro da arquitetura da solução.
O comprometimento de uma camada administrativa pode oferecer ao atacante uma posição privilegiada para avançar sobre outros componentes.
Duas falhas permitem execução remota de código
O pacote de segurança também corrige duas vulnerabilidades relacionadas à execução remota de código (RCE).
A primeira é a CVE-2026-47867, classificada com pontuação CVSS 8,7.
Segundo a Broadcom, um usuário malicioso com acesso à rede pode conseguir acessar o plano de controle do Avi e executar código remotamente.
A segunda, CVE-2026-47869, também recebeu pontuação 8,7.
Nesse caso, o cenário descrito exige que o atacante esteja autenticado. Um usuário malicioso com acesso à rede e credenciais válidas pode realizar injeção e execução de código. O NVD também registra a vulnerabilidade como uma falha de execução de código que afeta diferentes versões do produto.
Falha permite acesso sem autorização adequada
Outra vulnerabilidade corrigida é a CVE-2026-47866, com pontuação CVSS 8,3.
Ela envolve um bypass de autorização.
Embora autenticação e autorização sejam frequentemente tratadas como conceitos semelhantes, existe uma diferença importante.
Autenticação responde à pergunta: quem é o usuário?
Autorização determina: o que esse usuário pode fazer?
No caso dessa vulnerabilidade, um agente malicioso na rede poderia acessar um conjunto limitado de recursos do plano de controle sem possuir a autorização adequada.
Usuário local pode chegar ao root
O pacote também resolve a CVE-2026-47868, vulnerabilidade de escalada local de privilégios avaliada em 7,8.
Nesse cenário, um usuário que já possui acesso local ao sistema pode elevar seus privilégios e executar código como root.
O acesso root representa o nível máximo de privilégio em sistemas Linux.
Por isso, vulnerabilidades desse tipo costumam ser particularmente perigosas quando combinadas com outra falha que fornece o acesso inicial ao ambiente.
É justamente a possibilidade de combinar diferentes vulnerabilidades que torna pacotes com múltiplas falhas especialmente relevantes para equipes de segurança.
Outra vulnerabilidade pode permitir execução de código
A Broadcom também corrigiu a CVE-2026-47870, classificada com pontuação 7,1.
A companhia descreve o problema como uma vulnerabilidade de escalada de privilégios na qual um usuário malicioso autenticado e com acesso à rede pode conseguir executar código remotamente.
Mais uma vez, o cenário pressupõe algum nível prévio de acesso.
Isso não significa que o risco seja baixo.
Credenciais legítimas podem ser obtidas por phishing, malware, reutilização de senhas ou comprometimento de contas administrativas.
Directory traversal completa a lista
A sétima vulnerabilidade é a CVE-2026-47871, com pontuação CVSS 8,8.
A falha está relacionada à validação inadequada de caminhos de arquivos.
Segundo a Broadcom, usuários maliciosos autenticados e com acesso à rede podem explorar o problema para realizar ataques de directory traversal.
Esse tipo de vulnerabilidade permite manipular caminhos utilizados por uma aplicação para tentar alcançar arquivos ou diretórios que deveriam estar fora da área permitida.
Dependendo da implementação e das permissões existentes, o impacto pode envolver exposição ou manipulação de informações sensíveis.
Quais versões do Avi Load Balancer são afetadas
As vulnerabilidades atingem diferentes linhas do VMware Avi Load Balancer.
A documentação da Broadcom aponta atualizações específicas conforme a versão instalada. Entre as versões corrigidas estão:
- 32.1.2 para ambientes na linha 32.1;
- 31.2.2-2p3 para a linha 31;
- 30.2.7 para a linha 30;
- instalações da linha 22.1 também precisam migrar conforme a matriz de resposta indicada pela fabricante.
Por exemplo, a CVE-2026-47866 afeta a versão 32.1.1, versões entre 31.1.1 e 31.2.2, entre 30.1.1 e 30.2.6 e a linha 22.1.1 a 22.1.7.
Administradores devem consultar a matriz oficial antes de executar a atualização, já que a versão de destino depende do ambiente instalado.
Não existe workaround
Um dos pontos mais importantes do alerta é que a Broadcom não disponibilizou soluções alternativas para essas vulnerabilidades.
Para cada uma das sete falhas, a orientação oficial é aplicar a atualização correspondente ao Avi Controller.
Isso aumenta a urgência para organizações que mantêm versões vulneráveis.
Em alguns incidentes de segurança, administradores conseguem reduzir temporariamente o risco desativando um recurso ou alterando uma configuração enquanto programam uma janela de manutenção.
Neste caso, a fabricante não apresenta esse caminho como alternativa à atualização.
Falhas foram reportadas de forma privada
As vulnerabilidades foram comunicadas de maneira privada à Broadcom antes da publicação das correções.
A companhia creditou Filip Waeytens, do NATO NCSC, pela descoberta de várias das falhas.
O pesquisador Lang Khuong Duy, da Viettel IDC, também aparece entre os responsáveis pela identificação de vulnerabilidades presentes no pacote.
A divulgação coordenada reduz o período em que detalhes de uma vulnerabilidade ficam públicos enquanto usuários ainda não possuem uma correção disponível.
Load balancers são componentes estratégicos
O caso merece atenção porque um load balancer não é simplesmente mais uma aplicação dentro da infraestrutura.
Balanceadores de carga distribuem tráfego entre servidores e serviços, contribuindo para disponibilidade, desempenho e resiliência das aplicações.
Em ambientes corporativos, podem ocupar uma posição extremamente sensível entre usuários externos e sistemas internos.
O Avi Load Balancer também oferece recursos relacionados a aplicações modernas, Kubernetes, automação e segurança.
Por isso, comprometer sua camada de controle pode gerar consequências muito maiores do que explorar uma aplicação isolada.
Equipamentos de borda continuam no radar dos atacantes
Nos últimos anos, criminosos e grupos de espionagem aumentaram o interesse por dispositivos e aplicações posicionados na borda das redes.
VPNs, firewalls, gateways, balanceadores de carga e ferramentas de gerenciamento são alvos especialmente interessantes.
Existe uma razão simples.
Esses sistemas frequentemente possuem conectividade com múltiplos ambientes e, em alguns casos, interfaces administrativas acessíveis pela rede.
Uma vulnerabilidade crítica em um equipamento desse tipo pode oferecer um caminho privilegiado para dentro da organização.
Empresas brasileiras também precisam verificar seus ambientes
O alerta não indica que organizações brasileiras estejam sendo especificamente atacadas por essas vulnerabilidades.
Também não há, no comunicado oficial consultado, confirmação de exploração ativa das sete falhas.
Ainda assim, empresas brasileiras que utilizam o VMware Avi Load Balancer devem verificar as versões instaladas e aplicar as correções correspondentes.
A ausência de exploração conhecida não deve ser interpretada como garantia de segurança.
Depois que uma vulnerabilidade recebe um CVE e uma atualização é publicada, pesquisadores e criminosos podem comparar versões vulneráveis e corrigidas para tentar compreender exatamente o que mudou.
Essa técnica é conhecida como patch diffing.
Atualização deve entrar na prioridade das equipes
Para organizações que utilizam o Avi Load Balancer, a prioridade deve ser identificar rapidamente se os controladores estão dentro das versões afetadas.
O cenário é particularmente relevante em ambientes nos quais interfaces administrativas podem ser alcançadas por redes menos confiáveis.
Além da atualização, equipes podem revisar logs, acessos administrativos, contas privilegiadas e atividades incomuns no plano de controle.
A aplicação do patch resolve a vulnerabilidade conhecida, enquanto a análise dos registros ajuda a identificar possíveis comportamentos suspeitos anteriores à correção.
Sete falhas mostram importância da defesa em profundidade
A atualização do VMware Avi Load Balancer mostra por que infraestruturas críticas de TI precisam de múltiplas camadas de proteção.
O conjunto reúne vulnerabilidades com requisitos diferentes.
Uma permite contornar autenticação. Outras exigem acesso autenticado. Há problemas de execução remota de código, autorização, directory traversal e escalada local.
Individualmente, cada vulnerabilidade possui determinado impacto.
Combinadas em um ambiente mal protegido, elas podem oferecer diferentes etapas de uma cadeia de ataque.
É justamente por isso que a correção da CVE-2026-47865 e das outras seis vulnerabilidades deve ser tratada como prioridade por administradores que utilizam versões afetadas do Avi Load Balancer.
A Broadcom já disponibilizou as atualizações.
Neste caso, como não há workaround oficial, adiar o patch significa continuar operando com o risco conhecido.
