Pesquisadores da Calif.io identificaram a CVE-2026-47729, um vazamento de memória de longa data no parser FTP do Squid, presente desde 1997, que expõe dados de solicitações HTTP de usuários anteriores.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
A detecção de bots no lado do cliente roda em hardware controlado pelo atacante, então cada linha de código deve ser tratada como legível e passível de patch. As defesas mudam a cada build e até por sessão, de modo que assinaturas ou reversões de uma versão falham na seguinte. As verificações críticas evitam branch statements e usam derivação criptográfica de chaves, então qualquer tentativa de tampering só produz saída inútil, sem um flag claro para alterar. Tabelas de lookup e lógica de alto valor existem apenas no lado do servidor e são geradas por sessão, o que impede análise offline significativa. O caminho de detecção depende de uma ida e volta autenticada e em tempo real ao servidor, dificultando que um atacante rode uma réplica estática offline em escala.
A Apple lançou o Beats Firmware Update 1B211 para corrigir a CVE-2025-20701, uma falha de autenticação em SoCs da Airoha revelada em uma conferência de segurança na Alemanha em 2025. A brecha permitia que um atacante dentro do alcance do Bluetooth escutasse pelo microfone de um fone não pareado enquanto ele buscava ativamente solicitações de pareamento. Em cadeia com outras falhas relacionadas da Airoha, o problema também podia expor chaves de pareamento, fazer os fones se passarem por um headset confiável e abrir caminho para sequestro de chamadas, extração de contatos e acionamento de assistentes de voz no telefone pareado. A exploração é difícil e depende de proximidade, o que coloca o caso mais como risco de vigilância direcionada do que como ataque oportunista. O firmware é distribuído silenciosamente quando os fones ficam no estojo perto de um dispositivo Apple conectado e pode ser verificado em Ajustes > Bluetooth.
MicroVMs e sandboxes de agentes foram confundidos indevidamente: uma microVM impõe uma fronteira entre guest e host que impede uma máquina hostil de escapar, mas um agente de código roda como você, com suas chaves SSH, tokens da cloud e credenciais já montados dentro da caixa. O risco não é a fuga, e sim o raio de impacto quando um agente confiável, de boa-fé, interpreta errado uma tarefa ou segue uma instrução injetada e exfiltra ou apaga o que consegue alcançar legitimamente. O hypervisor opera em um nível de tudo ou nada, sobre imagens de disco e máquinas inteiras, enquanto a ameaça real de um agente vive em um nível por caminho, por host e por syscall que o hypervisor nunca monitora. Por isso, o controle certo medeia as operações que um processo tenta executar, em vez de virtualizar o hardware abaixo dele.
A Paradigm Shift publicou o “usbliter8”, um exploit de BootROM contra os chips A12 e A13 da Apple que explora um bug no controlador USB. Ao enviar uma sequência de pacotes incomumente pequenos durante a inicialização, o ataque faz um ponteiro interno de hardware caminhar para trás pela memória, o que permite escritas fora dos limites. Como a falha está na mask ROM, ela não pode ser corrigida, deixando vulneráveis para sempre os iPhone XS até o iPhone 11. O A11 escapa porque seu driver USB redefine o ponteiro a cada pacote, e o A14 e os modelos posteriores configuram a proteção de memória corretamente no boot. No caso do A13, a exploração exigiu um bypass longo e em várias etapas dos Pointer Authentication Codes (PAC). Depois de executado, o exploit instala um manipulador que sobrevive a reinicializações, pode rebaixar configurações de segurança e iniciar código não assinado, injeta a string “PWND” no serial USB e, embora não atinja diretamente o Secure Enclave, amplia as vias para atacá-lo.
Atacantes invadiram o fornecedor não identificado que opera o sistema de licenças de caça e pesca do Texas Parks and Wildlife, expondo números de carteira de motorista, números de passaporte e dados de contato de cerca de 3,09 milhões de pessoas. O conjunto de dados está sendo vendido por um threat actor ligado a uma violação semelhante na Virginia Wildlife, o que sugere que plataformas SaaS compartilhadas estão sendo sondadas.
VaultSort V4 torna a criptografia de arquivos no macOS vinculada ao hardware e adiciona o Touch ID como chave de primeira classe, passando a criptografia por impressão digital pela mesma trilha apoiada pelo Secure Enclave usada por uma YubiKey. Na cadeia do V4, uma wrap key por arquivo é derivada a partir da saída de uma PRF de hardware via HKDF-SHA-256, um arquivo aleatório de 256 bits é selado com AES-256-KWP e o corpo é criptografado com AES-256-GCM sob um header autenticado, o que corrige uma lacuna do V3 em que o toque da YubiKey era apenas uma barreira na camada de aplicação e o file key podia ser derivado offline do repositório local de credenciais do VaultSort. O Touch ID exige macOS 14 Sonoma ou posterior e, como se trata de uma divulgação do próprio fornecedor para um produto fechado de US$ 24,99, as garantias no nível de bytes dependem do Security Design Document gratuito do próprio VaultSort, e não de uma revisão independente.
O Linux 7.2 remove a API strncpy(), conhecida por ser propensa a bugs, depois de cerca de 362 commits ao longo de seis anos. Com isso, o código do kernel passa a ser direcionado para strscpy(), strscpy_pad(), strtomem_pad(), memcpy_and_pad() ou memcpy(), conforme a necessidade de terminação NUL e de preenchimento.
Uma grande campanha de roubo de credenciais chamada FortiBleed expôs mais de 86 mil logins válidos de firewalls Fortinet e VPNs expostos à internet, em 194 países, afetando milhares de organizações, incluindo órgãos públicos e entidades de infraestrutura crítica. Os invasores interceptaram a autenticação do SSL VPN, quebraram hashes de senha com um cluster de 45 GPUs e avançaram para ambientes internos de Active Directory depois de cerca de 1,16 bilhão de tentativas de credenciais contra 320 mil alvos FortiGate e de bilhões de tentativas adicionais em servidores MSSQL.
ATUALIZAÇÃO (23/06/2026): não é mais rumor, foi lançado. 11 de junho de 2026. A Novo Nordisk confirmou um incidente de segurança cibernética que resultou em acesso não autorizado a um número limitado de sistemas internos de TI e a dados de pacientes de ensaios clínicos. O grupo de hackers FulcrumSec assumiu a responsabilidade, alegando ter roubado 1.3TB de dados, incluindo a fórmula exata do Ozempic, após a empresa se recusar a pagar um resgate de US$ 25 milhões. O incidente teria sido causado por um token do GitHub vazado, que concedeu aos atacantes acesso por dois meses antes de ser detectado. (Rumor original) Um grupo que se identifica como FulcrumSec afirma ter obtido acesso inicial em março por meio de um único GitHub personal access token, que permitiu clonar repositórios internos. Segundo o relato, houve cerca de dois meses de permanência sem detecção antes da exfiltração de mais de 700.000 arquivos, ou cerca de 1,3 TB. A Novo Nordisk confirmou uma intrusão limitada em 11 de junho e, segundo os relatos, recusou uma exigência de extorsão de US$ 25 milhões que teria levado ao vazamento de 264 GB, supostamente com código-fonte, registros de testes clínicos de cerca de 11.500 pacientes e a fórmula do Ozempic. O sinal detectável aqui foi um token clonando discretamente centenas de repositórios ao longo de semanas, além de grandes fluxos de saída de dados, e nenhum dos dois gerou alerta. Isso se encaixa mais em falhas de credencial do OWASP A07 do que em uma técnica inédita. Para defesa, o texto recomenda tratar PATs, deploy keys e tokens de CI como credenciais bearer, com expiração curta, escopos restritos, allowlists de IP e contas protegidas por SSO, além de criar alertas para padrões anormais de bulk-clone e transferência de saída, e rodar secret scanning nos próprios repositórios antes que um token roubado vire uma master key.
Em ambientes de cloud, atacantes costumam mirar serviços de logging para reduzir a visibilidade dos defensores e estabelecer monitoramento passivo. Para isso, podem tornar o logging ineficaz ao desativá-lo, apagar o router ou o destino, criptografar os logs com chaves controladas pelo atacante ou envenenar os registros modificando diretamente seu conteúdo. Também podem criar um destino adicional de logs ou redirecioná-los para uma conta controlada pelo atacante.
Crypto Clipper é um worm que se espalha via USB usando arquivos .lnk e um cliente Tor embutido para rotear o tráfego por um proxy SOCKS5 local. Ele monitora a área de transferência em busca de endereços de carteira e seed phrases de 12 ou 24 palavras, exfiltra esses dados com capturas de tela pelo Tor e substitui endereços de criptomoedas copiados por outros controlados pelo atacante. Produtos de defesa identificam a ameaça por interpretadores de script suspeitos, uso do proxy localhost:9050, comandos de captura de tela e comportamento de substituição de área de transferência ou de endereços.
FortiBleed é uma campanha em larga escala de password spraying e roubo de credenciais que mira serviços Fortinet, Sophos e MSSQL expostos na internet. A cadeia usada pelo ataque combina spraying em múltiplas etapas, escalada de privilégios, extração de configurações com credenciais armazenadas e cracking offline, alimentando a próxima rodada. Um IAB no Exploit[.]in reivindica a operação e vende as credenciais coletadas em 16 de junho, mas a informação não foi validada. Defensores devem auditar logs de acesso remoto em busca de logins bem-sucedidos após eventos de muitas falhas, exigir MFA, adotar ZTNA com jump boxes para manter interfaces de gestão fora da internet pública, rotacionar credenciais padrão, desabilitar contas não usadas e corrigir falhas locais de escalada de privilégios.
Um tutorial claro e detalhado sobre como usar o Nginx como reverse proxy, com exemplos incluídos.
GitHub adicionou raciocínio com LLM consciente de contexto à etapa de verificação do seu pipeline de secret scanning, em trabalho conjunto com a equipe de Microsoft Security & AI's Agents Offense e com a abordagem do Agentic Secret Finder, para reduzir o ruído de segredos genéricos detectados por IA. Em vez de enviar arquivos inteiros ao modelo, o sistema extrai contexto de uso de maior sinal, como casos em que um valor flui para uma requisição de API, um cabeçalho de autenticação, um cliente de banco de dados ou uma chamada de cloud SDK, o que ajuda a separar exposições reais de placeholders, dados de teste e UUIDs aleatórios com baixa latência. Avaliado contra centenas de falsos positivos confirmados por clientes, o método chegou a uma redução de 75,76%, acima da meta de 65%, sem alterar a lógica de detecção upstream nem a cobertura, elevando a precisão dos alertas sem exigir retuning da detecção.
Um diretório exposto no IP 62.171.185[.]97 permitiu à CloudSEK mapear a cadeia operacional da Operation Escaneo, atribuída com confiança média ao grupo MexicanMafia (PanchoVilla). A campanha empregou o scanner personalizado Kimera, exploits direcionados a Fortinet, Ivanti e Cisco, além de persistência avançada via webshells Neo-reGeorg, túneis Chisel e GRE em roteadores Cisco, invisíveis a detecções baseadas em host. O grupo adotou disciplina típica de APTs: cracking on-premise de credenciais para evitar exfiltração de hashes e manutenção de acessos resilientes à rotação de senhas. É mais um sinal de que atores criminosos na América Latina estão aplicando técnicas de espionagem tradicionalmente associadas a ameaças estatais, agora voltadas para ganho financeiro.
Jeff Barron usou Claude Code integrado ao Ghidra MCP para analisar drivers Windows da ASUS em seu notebook, identificando e validando dois CVEs com PoCs funcionais: CVE-2026-3508 (leitura fora dos limites em AsusWmiAcpi.sys) e CVE-2026-6737 (IOCTLs expostos a usuários comuns por descritores inseguros em AsusPTPFilter.sys). Ele reforça que descobertas robustas exigem compreensão profunda do comportamento dos drivers, não confiança cega na IA, e edição rigorosa de relatórios gerados por IA para eliminar ruído e hype.
Atacantes exploraram uma conta de integração do Klue comprometida para gerar tokens OAuth, acessar APIs REST do Salesforce e exfiltrar dados de CRM, incluindo contatos, cotações e mensagens, durante 24 horas. Em picos, realizaram quase 1.000 chamadas em 15 minutos. A Huntress atribuiu o ataque ao grupo de extorsão Icarus, que usou credenciais inativas do Klue, Session ID roubado e domínios de e-mail australianos sequestrados. Recomenda-se revogar imediatamente todos os segredos vinculados ao Klue, auditar padrões de consumo de API e aplicar restrições de IP em contas de integração.
Pesquisadores da Check Point identificaram uma campanha sofisticada que distribui um clipboard hijacker escrito em Rust via GitHub e SourceForge. Os atacantes criaram contas falsas para inflar downloads e colaboradores, além de canais no YouTube com vídeos tutoriais narrados por IA, reforçados por comentários positivos automatizados, para dar aparência de legitimidade. A ameaça também é promovida em fóruns de criptoativos. Ao ser executado, o malware monitora o clipboard em busca de endereços de carteiras e os substitui silenciosamente por endereços sob controle dos invasores.
Red teamers identificam honeytokens e estações de engodo no Active Directory sem autenticação, usando chamadas discretas MS-SAMR e LSA (como SamConnect e NetUserEnum) via porta 445, evitando alertas gerados por varreduras LDAP. A detecção se baseia em anomalias: contas com lastLogon = 0 mas logonCount > 0 revelam honeypots, pois máquinas que ingressam no domínio exigem autenticação Netlogon válida. Para defensores, a dica é não depender de um único sinal: combine honeypots com monitoramento de consultas ao diretório, detecção de anomalias de autenticação e controle rígido de privilégios de leitura de atributos, além de validar a consistência de lastLogon entre controladores de domínio.
