Em 8 de outubro de 2026, a CISA (agência de cibersegurança dos EUA) incluiu no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) a falha CVE-2023-22894, que afeta o Strapi, um dos sistemas de gerenciamento de conteúdo (CMS headless) open source mais usados por empresas e desenvolvedores para construir sites, blogs e painéis administrativos. Segundo o National Vulnerability Database (NVD) e o aviso oficial do projeto (GHSA-jjqf-j4w7-92w8), a falha afeta as versões do Strapi entre 3.2.1 e anteriores à 4.8.0 e permite que um atacante sem autenticação descubra informações sensíveis de usuários administradores por meio de filtros de consulta da API: ao testar valores e observar mudanças nas respostas, é possível deduzir dados como o hash de senha e o token de redefinição de senha de um administrador, usados em seguida para trocar a senha da conta e obter acesso de Super Administrador. A CISA definiu 11 de outubro de 2026 como prazo para que órgãos federais dos EUA corrijam a falha, conforme a diretriz BOD 26-04.
O caso chama atenção porque a vulnerabilidade foi divulgada originalmente em 2023, com correção disponível desde a versão 4.8.0 do Strapi — ou seja, mais de três anos atrás —, e só agora a CISA confirma evidências de exploração ativa, incluindo-a no catálogo KEV ao lado de outras falhas antigas, em produtos como Apache Struts, ISC BIND e ProFTPD, adicionadas na mesma atualização do catálogo. Isso mostra que instâncias do Strapi que nunca foram atualizadas continuam acessíveis e vulneráveis anos depois do lançamento da correção.
Por que isso importa para uma PME brasileira: o Strapi é uma ferramenta popular entre startups, agências e pequenas empresas brasileiras para montar sites institucionais, blogs e painéis de conteúdo sem depender de grandes plataformas comerciais — muitas vezes implantado por um desenvolvedor ou agência terceirizada e depois esquecido, sem atualizações. Como a falha não exige autenticação prévia e pode terminar em acesso total de administrador ao painel, qualquer instância exposta à internet e desatualizada (mesmo rodando desde 2021 ou 2022) pode ser encontrada e explorada por ferramentas automatizadas, independentemente do tamanho da empresa.
O que fazer agora: identifique se a sua empresa ou algum fornecedor/agência mantém uma instância do Strapi em produção e verifique a versão instalada — qualquer versão anterior à 4.8.0 deve ser atualizada imediatamente. Se a atualização não for possível de imediato, restrinja o acesso ao painel administrativo por firewall ou lista de IPs permitidos, e troque as senhas de todos os administradores como precaução. De forma mais ampla, este caso é um bom motivo para revisar todo o inventário de sistemas da empresa, incluindo os que já estão funcionando há anos sem que ninguém mais cuide deles, e confirmar que nenhum ficou parado em uma versão desatualizada e exposta à internet.
Fonte primária: registro da CVE-2023-22894 no National Vulnerability Database (NVD) e aviso oficial do projeto Strapi (GHSA-jjqf-j4w7-92w8). Confirmação da inclusão no catálogo KEV: catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA.
