Uma campanha de varredura em massa contra servidores de desenvolvimento do Vite expostos na internet está tentando roubar credenciais e configurações de cloud em implantações na AWS e na Azure.
A operação explora um exploit para a
CVE-2026-39364
, uma vulnerabilidade de alta severidade que permite contornar controles de leitura e acesso a arquivos nas versões 7.1.0 até 7.3.2 do Vite, além da série 8.x anterior à 8.0.5.
A falha foi divulgada em 7 de abril e permite que um atacante sem autenticação manipule parâmetros de consulta em uma solicitação HTTP GET para burlar restrições de segurança e recuperar arquivos em texto puro de locais que normalmente estariam fora de alcance.
A empresa de tecnologia F5 detectou os ataques por meio de seus sensores de honeypot e observou mais de 800 ataques e cerca de 32.000 eventos brutos ao longo de um mês.
“Quando parâmetros específicos, como ?raw, ?import&raw ou ?import&url&inline, são adicionados a uma requisição, o servidor deixa de aplicar a filtragem de lista de negação e entrega o arquivo alvo com uma resposta HTTP 200”, explica a F5.
Depois de invadir um sistema, a varredura passou a buscar segredos valiosos usando listas extensas de palavras para os seguintes tipos de dados:
.env, .env.production, .env.local e outros arquivos de ambiente
Arquivos de credenciais da AWS em vários diretórios possíveis do usuário
Arquivos de configuração da AWS e backups de credenciais
Credenciais e tokens de acesso da Azure
Arquivos de estado e variáveis do Terraform
Configuração e estado do Serverless
/proc/self/environ, /proc/1/environ e /proc/self/cwd/.env
/etc/passwd
A F5 informa que a operação também tentou variações de travessia de diretório e codificação, incluindo sequências de travessia com dupla codificação, aparentemente para escapar de proxies reversos ou da normalização feita por WAFs.
A maior parte da atividade maliciosa observada partiu dos Estados Unidos, da Bélgica e da Holanda, com os atacantes usando faixas de IP do Google Cloud para dificultar a detecção.
Os IPs mais ativos também exploraram outras falhas de controle de acesso no Vite:
CVE-2025-30208
,
CVE-2025-31125
, marcada como explorada ativamente, e
CVE-2024-45811
.
Embora o Vite normalmente se vincule ao localhost, os pesquisadores da F5 afirmam que desenvolvedores frequentemente o expõem na internet ao usar a flag --host, definir server.host ou aplicar mapeamentos de portas incorretos em Docker.
A empresa de tecnologia recomenda atualizar os servidores Vite para a versão mais recente, que corrige as falhas exploradas. Os desenvolvedores também devem bloquear o acesso pela porta 5173, barrar requisições suspeitas para /@fs/ e evitar confiar em strings de User-Agent de crawlers.
As principais origens das tentativas maliciosas são 34.14.15[.]105, 34.16.200[.]129 e 34.11.196[.]206, que devem ser colocados em bloqueio.
Se servidores Vite sem patch estavam expostos publicamente, a recomendação é rotacionar todos os segredos alcançáveis pelo sistema vulnerável.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...