Sophos Firewall v22 MR3: Por Que Firmware Atrasado é Risco de Negócio e Como Governar o Upgrade Sem Parar a Operação

Sumário Executivo

A gestão de segurança em infraestruturas críticas exige que o perímetro de rede permaneça continuamente atualizado e alinhado às arquiteturas modernas de proteção. Em 16 de outubro de 2026, a Sophos disponibilizou o Sophos Firewall OS (SFOS) v22.0 MR3 (Build 576), release que consolida a versão de referência para a família v22.

Este documento técnico, elaborado pela SN Informática — parceira Sophos Platinum Partner e Sophos Firewall Partner —, estabelece a análise factual e o roteiro de governança para decisores de TI (Heads de TI, CISOs e Gestores de Infraestrutura). O objetivo é diagnosticar os riscos decorrentes da execução de firmwares defasados e instruir a aplicação governada do upgrade para o SFOS v22 MR3 sem interrupção das operações de negócio.

Seção 1: Contexto Tecnológico — O Ciclo de Releases do SFOS e a Evolução da Linha v22

1.1 A Dinâmica de Atualizações do SFOS: Hotfixes Over-the-Air vs. Maintenance Releases (MR)

O ecossistema Sophos Firewall emprega duas camadas distintas de atualização contínua, cujos papéis operacionais e de segurança devem ser compreendidos pela gestão de TI:

• Hotfixes Over-the-Air (OTA): Mecanismo automatizado projetado para a entrega imediata e urgente de vacinas contra vulnerabilidades zero-day críticas. A aplicação ocorre em segundo plano, não exigindo tempo de inatividade (downtime) nem reinicialização (reboot) do sistema.
• Maintenance Releases (MR): Pacotes consolidados de software lançados periodicamente. Contêm correções não urgentes de segurança, aprimoramentos no motor de inspeção, atualizações de estabilidade do kernel, otimizações de desempenho e correções de erros de código (bugs). A aplicação de uma MR exige reinicialização do dispositivo e agendamento formal de janela de manutenção.

Risco do Firmware Atrasado: Confiar exclusivamente nos Hotfixes OTA cria uma falsa sensação de segurança. As correções estruturais de código, prevenções contra estouro de memória, vazamentos em instâncias de HA e falhas de compatibilidade de protocolos não são entregues via OTA; dependem obrigatoriamente do upgrade de firmware para as versões MR.

+-----------------------------------------------------------------------+
|                         Ciclo de Atualização SFOS                      |
+-----------------------------------------------------------------------+
|  Hotfix Over-the-Air (OTA)      |  Maintenance Release (MR)            |
|  - Correções urgentes (zero-day)|  - Correções estruturais de segurança|
|  - Sem downtime / Sem reboot    |  - Estabilidade e desempenho do kernel|
|  - Aplicação automática         |  - Requer janela e reboot agendado    |
+-----------------------------------------------------------------------+

1.2 Linha do Tempo e Evolução Funcional do Sophos Firewall v22

A versão 22 do SFOS marcou uma reestruturação na arquitetura dos appliances Sophos, evoluindo a proteção de perímetro com os seguintes marcos:

• v22.0 GA (General Availability):
  • Secure by Design: Introdução da arquitetura de próxima geração Next-Gen Xstream Architecture, reestruturando o plano de controle (Control Plane) com serviço modularizado, isolado e conteinerizado (ex.: o motor IPS roda isolado como uma aplicação).
  • Hardened Kernel (v6.6+): Atualização do kernel Linux com mitigação nativa contra ataques de canal lateral e vulnerabilidades de CPU (Spectre, Meltdown, L1TF, MDS, Retbleed, ZenBleed, Downfall), além de hardened usercopy, stack canaries e KASLR.
  • Firewall Health Check: Ferramenta integrada no Control Center que avalia dezenas de configurações em relação aos benchmarks do CIS (Center for Internet Security) e recomendações internas, apontando configurações de alto risco.
  • Remote Integrity Monitoring: Integração do Sophos XDR Linux Sensor no SFOS, fornecendo monitoramento de integridade em tempo real para detectar alterações não autorizadas, exportação de regras, adulteração de arquivos e execução de programas maliciosos.
  • Novo Motor Anti-Malware: Consultas diretas em tempo real na nuvem do SophosLabs (atualizada a cada 5 minutos ou menos) com modelos de IA/Machine Learning e telemetria expandida.
  • Integração Taegis & Atributos de Rede: Suporte a feeds de ameaças Taegis XDR/MDR via Active Threat Response (ATR); seleção de data center regional para análise de fluxos do NDR Essentials; suporte a SHA-256 e SHA-512 para tokens OTP; MFA para o Web Application Firewall (WAF); logs de auditoria detalhados (formato XML before-and-after) para conformidade com normas NIST/NIS2; e monitoramento sFlow.
• v22 MR1:
  • Expansão do sensor XDR para toda a linha XGS hardware, identificando e bloqueando acessos via interactive/reverse shell e comandos C2 (Command & Control) TCP/UDP.
  • Integração da tecnologia iSensor IPS da plataforma SecureWorks Taegis (NDR Active Threat Intelligence).
  • Suporte do NDR Essentials expandido para plataformas virtuais, em nuvem e software.
  • Registro da identidade do usuário do Sophos Central em auditorias de mudança.
  • Aposentadoria Crucial: Aposentadoria oficial e encerramento de suporte ao IPsec VPN de Acesso Remoto Legado (Legacy Remote Access IPsec).
• v22 MR2:
  • Controle e identificação de aplicações de Inteligência Artificial Generativa (GenAI) via Synchronized Application Control integrado ao Sophos Endpoint.
  • Detecção e controle de Criptografia Pós-Quântica (PQC): motor IPS detecta e bloqueia algoritmos puramente PQC e híbridos baseados em ML-KEM; a Proteção Web impede a negociação de algoritmos PQC não suportados (padrões IPS para PQC vêm desativados por padrão).
  • Nova extensão Chromebook User ID com suporte à especificação Manifest V3 do Google Chrome.
  • Alteração da regra STAS (Restrict client traffic during identity probe) para o padrão “No” (evita bloqueio de tráfego de usuários durante a sondagem de identidade).
  • Aviso de End-of-Life (EOL): Anúncio de fim do suporte a servidores de autenticação Novell eDirectory no futuro SFOS 23.0.
  • Inclusão das novas raízes e intermediárias ACME Let’s Encrypt (YE Root, YE1, YE2, YR Root, YR1 e YR2).
  • Lançamento do Config Studio 2.6.
• v22 MR3 (Build 576): Lançado em 16/10/2026 como a versão de referência operacional. Reúne mais de 15 correções críticas de estabilidade, desempenho, conectividade e segurança, sendo a versão recomendada para atualização imediata de todo o parque gerenciado.

Seção 2: Vetor de Ataque e Diagnóstico de Impacto — As 16 Correções do MR3 (Build 576)

Manter um firewall em edições anteriores do firmware expõe a infraestrutura a falhas de disponibilidade, quedas de VPN e degradação de desempenho. O SFOS v22 MR3 (Build 576) resolve 16 problemas mapeados oficialmente, agrupados a seguir pelas dores operacionais que causam na infraestrutura:

Tabela Detalhada de Correções do SFOS v22 MR3 (Build 576)

Seção 3: Arquitetura da Solução — Comandos Avançados, Bloqueios de Upgrade e Processo de Governança

3.1 O Novo Comando para IPsec Site-to-Site com Peers de Terceiros

Para resolver definitivamente o problema de descarte de pacotes em túneis IPsec fechados com equipamentos de terceiros que compartilham Security Associations (SAs) entre múltiplos pares de sub-redes (relacionado ao item NC-177635), o SFOS v22 MR3 introduziu um novo comando via CLI (VPN command).

• Mecanismo: O comando desativa a checagem estrita de política (strict policy check) no motor VPN para conexões IPsec Site-to-Site especificadas.
• Aplicação Prática: Evita que o tráfego IPsec legítimo de entrada (inbound) seja descartado quando a SA negociada pelo roteador remoto não corresponde exatamente à tabela rígida esperada pelo firewall, garantindo interoperabilidade com roteadores e firewalls de outros fabricantes.

3.2 Mapeamento de Bloqueios e Impedimentos de Upgrade

Antes de iniciar a migração para a linha v22 ou aplicar o MR3, a equipe de engenharia deve validar os seguintes pontos de bloqueio obrigatoriamente:

+-----------------------------------------------------------------------------------+
|                        Mapeamento de Bloqueios para Upgrade                       |
+-----------------------------------------------------------------------------------+
| Impedimento de Hardware  | Appliances XG e SG Series não suportam SFOS v21/v22.     |
| Impedimento de VPN       | Uso de IPsec Remote Access Legado bloqueia upgrade v22 MR1+|
| Impedimento de Rede      | VLAN via CLI em interfaces Bridge bloqueia v22 MR2+        |
| Impedimento de Disco     | Modelos Desktop/Virtuais antigos exigem redimensionamento |
| Impedimento de Migração  | v22 MR3 NÃO permite upgrade direto para v23 EAP1           |
| Impedimento Futuro (v23) | Servidores Novell eDirectory serão descontinuados no v23   |
+-----------------------------------------------------------------------------------+

1. Hardware XG e SG Series Fora do SFOS v22: Appliances das famílias Sophos XG e SG Series atingiram o End-of-Life (EOL em 31 de março de 2025 para a linha XG) e não oferecem suporte ao SFOS v21 ou v22. A migração exige substituição física para a linha Sophos XGS Series, instâncias virtuais ou nuvem.
2. IPsec Remote Access Legado: Se o firewall mantiver configurações ativas do modelo antigo de IPsec remoto, o upgrade para o v22 MR1 ou superior será bloqueado. É necessário migrar os usuários para o Sophos Connect Client (ou SSL VPN).
3. VLAN via CLI em Interfaces Bridge: A presença de marcações VLAN legadas criadas via CLI em interfaces no modo bridge impede o upgrade para o v22 MR2 e MR3.
4. Requisitos de Espaço em Disco (Partição Root): O SFOS v22 exige reestruturação de espaço em disco.
   • Appliances XGS 2100 e superiores: Upgrade 100% transparente.
   • Appliances XGS Desktop (XGS 87 a 136): 97% realizam o upgrade de forma transparente; 3% podem exigir intervenção prévia para limpeza de partições.
   • Firewalls Virtuais e Software instalados antes da v18: Exigem redimensionamento manual prévio das partições de disco conforme instruído pelo alerta do Sophos Central / KB oficial.
5. Descontinuação do Novell eDirectory: O suporte ao eDirectory será removido no SFOS v23.0. Organizações que utilizam esse servidor de autenticação devem planejar a migração para Active Directory ou Entra ID antes do upgrade para edições futuras.
6. Bloqueio de Migração Cruzada v22 MR3 para v23 EAP1: Firewalls atualizados para o SFOS v22 MR3 não podem realizar upgrade direto para a versão de testes v23 Early Access Program 1 (EAP1) por razões de alinhamento de código-fonte.

3.3 Processo de Upgrade Governado em 7 Etapas

Para garantir uma mudança controlada, com risco zero de indisponibilidade não planejada, a SN Informática estabelece o seguinte rito metodológico:

+-----------------------------------------------------------------------------------+
|                     Rito Metodológico de Upgrade Governado                        |
+-----------------------------------------------------------------------------------+
| [1. Inventário] -> [2. SSMK & Backup] -> [3. Janela Central] -> [4. HA Order]     |
|                                                                     |             |
| [7. Validação]  <- [6. Rollback Plan] <- [5. Testes Pós-Upgrade]  <-+             |
+-----------------------------------------------------------------------------------+

1. Inventário e Validação de Pré-requisitos:
   • Verificar a compatibilidade do hardware (Linha XGS, Virtual ou Nuvem).
   • Checar e remover configurações impeditivas (IPsec remoto legado e VLAN em bridge via CLI).
   • Verificar alertas de espaço em disco no painel do Sophos Central.
2. Garantia de Mídia e Chave de Criptografia (SSMK):
   • Confirmar se a Secure Storage Master Key (SSMK) está configurada pelo administrador padrão. Sem a SSMK, backups manuais e restaurações em novos hardwares ficam impossibilitados.
   • Gerar um backup manual antes da mudança. Validar se os backups automáticos estão sendo enviados ao Sophos Central (o Central armazena os últimos 5 backups e permite fixar/pinar 1 backup permanente no repositório).
3. Agendamento da Janela de Manutenção via Sophos Central:
   • Utilizar o Sophos Central para agendar o download e a aplicação do firmware em horário de baixo impacto operacional.
4. Sequência de Upgrade em Clusters de Alta Disponibilidade (HA):
   • A aplicação do firmware no cluster Active-Passive ou Active-Active atualiza primeiro o nó Auxiliar (Auxiliary), reiniciando-o no novo firmware.
   • Após a validação do nó Auxiliar, o nó Primário transfere a carga de trabalho (failover) para o nó atualizado e inicia seu próprio processo de atualização.
5. Testes de Failover e Túneis Dinâmicos:
   • Testar a conectividade dos túneis IPsec Site-to-Site e verificar a retenção das rotas SD-WAN.
   • Atenção para Ambientes Microsoft Azure (Active-Active HA): As rotas injetadas para a magic IP 168.63.129.16 do Azure Load Balancer não persistem após atualizações de firmware. É obrigatório reexecutar o runbook de automação no Azure após o upgrade para re-injetar as rotas e evitar a perda de tráfego de entrada e saída.
6. Plano de Rollback:
   • Em caso de anomalia crítica incorrigível, o SFOS mantém a imagem de firmware anterior intacta na segunda partição de boot. O comando de rollback via console/CLI alterna a inicialização para a partição secundária em minutos.
7. Validação Final de Serviços:
   • Verificar o estado dos serviços de inspeção (IPS, Snort, WAF, STAS) e a sincronização do cluster HA.

3.4 Suporte Técnico Controlado com Sophos Firewall Config Studio 2.7

Para auxiliar os administradores na governança de mudanças, a Sophos disponibilizou o Config Studio 2.7 (ferramenta web de processamento local no navegador, garantindo privacidade total dos dados):

• Visão “Changes-Only”: Permite visualizar no relatório prévio (preview) e exportar (em formato XML ou TAR) exclusivamente as alterações realizadas no arquivo de configuração, sem necessidade de reescrever a base inteira.
• Aba API Request: Gera requisições REST/XML contendo apenas as modificações (add, update, remove), viabilizando a automação de ajustes via API ou curl em múltiplos firewalls.
• Calculadora de Dimensionamento SD-WAN: Analisa as configurações do ambiente, calcula a quantidade de túneis em uso e valida a capacidade do modelo de hardware frente aos limites máximos suportados pelo equipamento.
• Análise Avançada e Correções: Identificação automatizada de regras ocultas (shadow rules), objetos duplicados e sub-redes sobrepostas (IP overlaps), além de correções no assistente de exceções web (Web Exception regex).

Seção 4: Citações Importantes com Contexto Técnico

Para fundamentar as decisões executivas junto à diretoria e aos times de auditoria, destacam-se a seguir trechos das documentações oficiais com sua devida contextualização analítica:

Citação 1 (Sobre a filosofia Secure by Design): “Ship fast, patch later is no longer a viable strategy in cybersecurity… Secure by Design flips that approach on its head. Instead of treating security as something to bolt on after development, it embeds protection into every stage of the product lifecycle… The median time between a vendor publishing an advisory or patch and an attacker exploiting that flaw was 322 days — almost a full year of opportunity.” — Sophos Cybersecurity Insights (Artigo “Secure by Design Explained”)

Contexto Técnico: A estatística de 322 dias entre a publicação de uma vulnerabilidade e sua exploração por invasores evidencia que o atraso na aplicação de firmwares de perímetro é a principal janela de oportunidade para atacantes. O SFOS v22 refatora o sistema para reduzir drasticamente a superfície de ataque nativa do dispositivo.

Citação 2 (Sobre o papel do Hotfix vs. Maintenance Release): “Sophos Firewall integrates an innovative Hotfix capability that enables us to push urgent and important patches out to the firewall over the air… However, it’s super important to ensure your firewall firmware is kept up to date, as non-urgent security fixes are often integrated into maintenance releases.” — Release Notes Oficiais do SFOS v22 MR2/MR3

Contexto Técnico: A equipe de desenvolvimento da Sophos reforça que os Hotfixes OTA resolvem emergências zero-day, mas não substituem as Maintenance Releases. Negligenciar a atualização da MR deixa a infraestrutura vulnerável a falhas de código secundárias e problemas estruturais de estabilidade.

Citação 3 (Sobre os riscos da permanência em hardwares XG EOL): “As of January 26, 2026, our records indicate that you’re still using an XG Series hardware appliance, which reached end of life (EOL) on March 31, 2025… Customers using XG Series hardware cannot upgrade to Sophos Firewall OS v21 and higher, meaning you can’t benefit from all the latest feature enhancements and the extensive security hardening in the latest release (v22).” — Comunicado Oficial Sophos Customer Success Team

Contexto Técnico: Operar com dispositivos da linha XG impede o acesso ao motor v22, anulando todos os mecanismos de mitigação do kernel e do Health Check. O uso de hardware descontinuado descumpre exigências das seguradoras de risco cibernético e frameworks de conformidade.

Citação 4 (Sobre a obrigatoriedade da chave de criptografia de backup): “The Secure Storage Master Key (SSMK) is set by the firewall default admin… It adds extra protection to your backups encrypting sensitive information such as passwords, secrets and keys… If the master key is lost you won’t be able to restore backups associated with that key.” — Sophos Tech Vids (“Back up and restore firewalls”)

Contexto Técnico: Na governança de desastres, o cadastro e a salvaguarda da chave SSMK são requisitos críticos. A perda desta chave impede a restauração da configuração do firewall em um novo equipamento em caso de falha de hardware, paralisando a recuperação do ambiente.

Seção 5: Impacto no Negócio, Compliance e Próximos Passos

5.1 Conformidade, Auditoria e Seguradoras de Risco Cibernético

A atualização regular para a versão de referência do SFOS (v22 MR3) transfere a gestão de TI de uma postura reativa para uma postura de conformidade auditável:

• Validação de Benchmarks CIS e NIS2/NIST: O uso do Firewall Health Check aliado ao registro detalhado do configuration-audit.log (que armazena a identidade das alterações feitas via Sophos Central e o delta no formato before-and-after) fornece evidências formais para auditores internos e externos.
• Módulos Criptográficos Certificados FIPS: O SFOS 22.0 GA e todas as suas versões MR utilizam módulos criptográficos certificados FIPS, atendendo aos padrões de segurança governamentais e de grandes corporações.
• Elegibilidade para Seguro Cibernético: Seguradoras de risco cibernético negam indenizações em incidentes onde a causa raiz envolve ativos sem suporte ou com firmwares críticos desatualizados há mais de 90 dias. A versão v22 MR3 atende aos requisitos de manutenção exigidos em apólices de seguro.

5.2 Preparação Arquitetural para o SFOS v23

A permanência na linha v22 MR3 estabelece a base sanitizada necessária para a futura migração para a versão SFOS v23 (atualmente em Early Access), que trará assistência baseada em Inteligência Artificial para administração de redes, APIs REST modernas, simplify na gestão de regras e mecanismos avançados de identidade. Ambientes com inconsistências estruturais no v20 ou v21 encontram barreiras técnicas diretas para a evolução tecnológica.

5.3 Gestão Contínua de Firmware com a SN Informática

A SN Informática atua como o braço de engenharia e governança de cibersegurança para seus clientes. Na condição de Sophos Platinum Partner, fornecemos o gerenciamento completo do ciclo de vida dos firewalls corporativos através dos nossos serviços gerenciados de MSSP:

+-----------------------------------------------------------------------------------+
|                     Serviços Gerenciados de MSSP - SN Informática                |
+-----------------------------------------------------------------------------------+
|  - Mapeamento e inventário contínuo de vulnerabilidades e impeditivos.             |
|  - Planejamento e execução de janelas de upgrade sem parada operacional.           |
|  - Ajuste de parâmetros de segurança com suporte ao Config Studio 2.7.            |
|  - Resposta a incidentes integrada com Sophos MDR, XDR e NDR.                      |
+-----------------------------------------------------------------------------------+

Próximos Passos e Solicitação de Análise

Sua infraestrutura de perímetro está preparada para a versão de referência v22 MR3 ou ainda opera sob riscos de firmwares descontinuados e incompatibilidades de licença?

Entre em contato com o time de engenheiros certificados da SN Informática para agendar um diagnóstico de saúde do seu firewall (Health Check) e estruturar o plano de migração governado para o SFOS v22 MR3.

• Agende uma Avaliação Técnica: snmssp.com/contato
• Website Principal: sninformatica.com.br
• Blog Técnico: blog.sninformatica.com.br
• Canal do YouTube: @sn_informatica
• Instagram: @sninformatica.rio

Siga a SN Informática, acompanhe nossos conteúdos técnicos, deixe seu like e ative o sininho em nossos canais de mídia para manter sua infraestrutura segura e atualizada.