Falha no Roundcube e nas firewalls Check Point: o que uma PME deve verificar esta semana

Foi confirmada uma falha no Roundcube, o programa de email pelo navegador que muitas empresas usam sem saber o nome, e outras duas nas firewalls Check Point, incluindo a gama para pequenas empresas. As três já estão a ser exploradas em ataques. A correção existe e deve ser instalada o quanto antes.

Até à data, não há notícia de ataques a empresas portuguesas. Mas corrigir é simples, e esperar para ver não compensa.

O que é a falha no Roundcube

O Roundcube é o webmail que aparece em muitos serviços de alojamento quando se abre o email da empresa no navegador. A falha, identificada como CVE-2026-48842, está num componente chamado virtuser_query. Permite a um atacante, sem palavra-passe, contornar a autenticação e retirar dados do servidor.

O Centro Canadiano de Cibersegurança atualizou o alerta e confirma que há ataques em curso. Existem mais de 523 mil instalações do Roundcube visíveis na Internet, em todo o mundo.

A correção está nas versões 1.6.16 e 1.7.1. Quem não conseguir atualizar de imediato deve desativar o componente afetado.

E nas firewalls Check Point?

A Check Point confirmou duas falhas que permitem executar código nos equipamentos sem autenticação. Uma afeta a ligação VPN dos Security Gateway (CVE-2026-85102). A outra está no serviço de gestão (CVE-2026-93616) e era usada em ataques desde 23 de julho, antes de haver correção.

Desde 12 de setembro há ataques dirigidos às firewalls Spark, a gama da marca pensada para pequenas empresas. As correções já foram publicadas: nas Spark, as versões seguras são a R82.00.10 Build 2325 e a R81.10.17 Build 4968 ou superior.

Como saber se a sua empresa usa estes sistemas

No email. Abra o email da empresa no navegador. Se a página de entrada mostrar o nome Roundcube, é esse o sistema. Também pode perguntar diretamente à empresa que aloja o site e o email.

Na rede. Veja o equipamento que liga o escritório à Internet ou pergunte a quem gere a informática. As firewalls Check Point têm o nome da marca no próprio aparelho.

O que fazer, passo a passo

1. Confirme se usa algum destes sistemas. Normalmente basta uma pergunta ao fornecedor.
2. Peça que confirmem por escrito que a atualização foi instalada, e em que data.
3. Se a resposta demorar, peça as medidas temporárias recomendadas pelo fabricante.
4. Ative a verificação em dois passos no email, se ainda não o fez. Não corrige a falha, mas torna muito mais difícil usar palavras-passe roubadas.

Para uma PME, a pergunta mais útil é simples: quem é responsável por estas atualizações, e alguém as está a fazer? Em muitas empresas, ninguém sabe responder à primeira. Quando é o caso, o suporte informático e a segurança de dados podem ficar a cargo de um parceiro externo, com alguém a acompanhar estes alertas por si.

Se tiver dúvidas sobre o seu caso, fale connosco.

Perguntas frequentes

Como sei se o email da minha empresa usa Roundcube?

Abra o email no navegador e veja a página de entrada, onde o nome Roundcube costuma aparecer. Se não tiver a certeza, pergunte à empresa que aloja o site e o email.

Sou eu que tenho de instalar a atualização?

Normalmente não. No Roundcube, quem atualiza é o fornecedor do alojamento. Nas firewalls, é o técnico ou a empresa que gere a rede. O papel da empresa é confirmar que foi feito.

Houve ataques a empresas portuguesas?

Até à data desta publicação não há notícia de casos em Portugal. As falhas estão a ser exploradas noutros países, e é por isso que convém corrigir antes de haver problemas.

O que é uma firewall?

É o equipamento que controla o que entra e sai da rede da empresa para a Internet. Se tiver uma falha, pode servir de porta de entrada a atacantes, por isso tem de estar sempre atualizado.