Ing. Calogero Bono
Em 6 de novembro de 2026, o CSIRT Itália, junto à Agência Nacional de Cibersegurança, publicou o alerta AL04/261106 sobre o Apache OFBiz. A Apache Software Foundation lançou atualizações para numerosas falhas, sendo 7 de gravidade crítica e 21 de gravidade alta. O OFBiz é uma plataforma open source de gestão empresarial, por isso lida com dados e processos sensíveis. Estão envolvidas todas as versões anteriores à 24.09.08.
Alguns termos, antes de entrarmos nos fatos. OFBiz é uma plataforma open source com a qual uma empresa gerencia pedidos, estoque e contabilidade. CVE é o código que identifica uma vulnerabilidade conhecida. RCE (Remote Code Execution) permite executar comandos em um sistema remotamente. Authentication bypass significa contornar o controle de acesso. CSIRT é o grupo que coordena a resposta a incidentes de segurança informática.
O que a ACN relatou sobre o Apache OFBiz?
Segundo o alerta da ACN, a Apache Software Foundation corrigiu numerosas vulnerabilidades. As mais severas são 7 críticas e 21 altas, num total de 28.
O alerta foi publicado em 6 de novembro de 2026 e indica como versões afetadas todas as anteriores à 24.09.08. A recomendação, alinhada ao fabricante, é atualizar seguindo o boletim de segurança.
Que tipo de falhas são?
A lista de tipologias é ampla.
- Gravação e leitura arbitrária de arquivos
- Authentication bypass e elevação de privilégios
- Remote Code Execution
- Denial of Service e Information Disclosure
- Spoofing, tampering e manipulação de dados
- Contorno das restrições de segurança
São categorias que tocam acessos, dados e continuidade do serviço. O título da newsletter do The Hacker News cita um RCE no OFBiz, mas no texto disponível não há detalhes.
Por que atualizar rapidamente importa?
Uma análise de cerca de 383.000 CVE, citada pelo The Hacker News, indica um tempo mediano de correção superior a um ano para equipamentos de rede. A Microsoft afirma que essa diferença é a janela do atacante. Não se refere ao OFBiz em particular, mas mostra o risco dos atrasos.
A Microsoft acrescenta que os atacantes miram sobretudo falhas que permitem assumir o controle do sistema, como execução remota de código, escalada de privilégios e bypass de autenticação. São tipologias presentes na lista do OFBiz.
Sobre o tema dos boletins recorrentes, falamos também sobre o Oracle E-Business Suite, onde as varreduras chegaram após o patch.
Como saber se você está exposto?
Verifique a versão do OFBiz em uso. Se for anterior à 24.09.08, ela está entre as indicadas. Depois leia o boletim de segurança da Apache citado pela ACN e planeje a atualização.
Se a plataforma roda num servidor que você gerencia, importa também quem mantém atualizado o sistema subjacente. Para quem prefere delegar, existem hospedagem e servidores gerenciados com atualizações de segurança. Para organizar o monitoramento das CVE, pode ajudar nosso guia sobre como monitorar as CVE.
Limites a conhecer
A fonte oficial que lemos não lista as CVE individuais no texto disponível, nem diz se há explorações ativas. Não sabemos quais das falhas são acessíveis sem autenticação. Esses detalhes devem ser buscados no boletim da Apache, e podem mudar com novas atualizações do alerta.
O que muda para quem trabalha com o digital
Se sua empresa usa o OFBiz, ou um produto que o incorpora, a atualização se torna prioridade. Verifique primeiro a versão, depois teste a migração para a 24.09.08 em um ambiente de teste, porque um sistema de gestão parado custa caro. Se você tem personalizações, confira se continuam funcionando. Uma atividade desse tipo lembra a disciplina vista no caso de Ubuntu e Red Hat com os patches do kernel. Quem não sabe se usa o OFBiz deveria perguntar a quem gerencia os sistemas.
Nossa opinião
Chama atenção o número, 28 falhas graves em um único ciclo, mais do que a vulnerabilidade isolada. Para software open source de gestão empresarial, a segurança depende de quem instala e atualiza, não do fato de o código ser público. Muitas pequenas empresas nem sabem que têm componentes semelhantes escondidos dentro de outros produtos. O alerta da ACN é útil, mas deveria vir acompanhado de orientações mais concretas sobre as CVE.
Perguntas frequentes
Quais versões do Apache OFBiz são vulneráveis?
Todas as anteriores à 24.09.08. É o que indica o alerta da ACN. A versão corrigida é, portanto, a 24.09.08 ou posteriores.
Quantas vulnerabilidades foram corrigidas?
Numerosas, sendo 7 críticas e 21 altas. O alerta lista apenas as de gravidade crítica e alta.
O que recomenda a ACN?
Atualizar os produtos vulneráveis. É preciso seguir as indicações do boletim de segurança do fabricante, citado nas referências.
Há ataques em andamento?
Nas fontes que consultamos, não há registro. O alerta não menciona exploração ativa, então não podemos confirmar nem descartar.
O que é o OFBiz?
É uma plataforma open source de gestão empresarial. É uma plataforma open source de gestão empresarial.
O que acompanhar nas próximas semanas sobre o OFBiz
O quadro pode mudar com os detalhes técnicos e eventuais confirmações de exploração. Vale acompanhar com método.
- Leia o boletim da Apache e anote as CVE críticas que afetam as funções que você usa.
- Verifique se a ACN atualiza o alerta com novas versões ou orientações.
- Confira se outros softwares seus incluem o OFBiz e pergunte aos fornecedores a data da correção.
