Está na hora de aposentar as VPNs? Vulnerabilidades recorrentes aceleram a migração para zero-trust

O argumento central é de arquitetura, não de fornecedor. O concentrador de VPN fica exposto na internet, foi feito para ser encontrado e, depois de violado, entrega ao atacante acesso amplo à rede interna. O texto lista casos recentes: CVE-2026-0257 no GlobalProtect e Prisma Access da Palo Alto (explorado por grupos de ransomware como Qilin e Settra quatro dias após a divulgação em maio), uma falha de bypass de autenticação no Ivanti Connect Secure divulgada em 13 de outubro, duas falhas críticas de IKEv2 na WatchGuard, o CitrixBleed 2 e o CVE-2024-40766 da SonicWall, usado por afiliados do Akira um ano após o patch porque senhas locais migradas nunca foram redefinidas.

A fonte também aponta que aplicar patch não basta: credenciais roubadas e persistência sobrevivem à correção. Para o futuro, o autor projeta que a descoberta de falhas por IA (Project Glasswing, da Anthropic) aumentará o volume de advisories e encurtará a janela entre divulgação e exploração, hoje de cerca de quatro dias. A recomendação é inventariar pontos de acesso expostos, assumir comprometimento de gateways legados, priorizar terceiros e administradores privilegiados na migração, tratar agentes de IA como identidades próprias, planejar mais operação de patch e fixar uma data de desligamento da VPN.

A cobertura do CEVIU mostra a tese amadurecendo ao longo de 2026. Em 27 de março de 2026, a matéria "51% das organizações foram atingidas por incidentes de VPN, confiança em colapso" já registrava que mais da metade das organizações teve incidente ligado a VPN e que só 5% acreditavam que VPNs defendem contra ameaças habilitadas por IA. Em 15 de abril de 2026, "Preparando seu Programa de Segurança para o Ataque Acelerado por IA" tratava da redução das janelas de correção, e em 10 de junho de 2026 o CEVIU noticiou "Falha na Check Point VPN está sendo explorada em ataques", com ordem da CISA para correção em três dias. Agora o argumento sai do diagnóstico e chega à prescrição: aposentar a VPN com data marcada e migrar para zero-trust.

Para quem opera TI corporativa, a leitura é que manter VPN como acesso padrão vira passivo crescente de risco e de custo operacional, com patches de emergência cada vez mais frequentes. O argumento de orçamento é útil: usar a pressão do ritmo de correções como justificativa para reduzir o número de appliances expostos. Com agentes de IA ganhando acesso, restringir por aplicação deixa de ser opção de arquitetura e passa a ser requisito de governança.