A CVE-2026-23111 consiste em um bug de use-after-free no subsistema nf_tables do Kernel Linux, permitindo que usuários locais sem privilégios obtenham acesso root e escapem de containers em configurações comuns de desktop e servidor que utilizam namespaces de usuário habilitados. Como já existem exploits disponíveis para Debian, Ubuntu e RHEL, administradores devem priorizar as atualizações de kernel e considerar a restrição do uso de namespaces de usuários não privilegiados até que a correção seja aplicada.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
1750 notícias
O OpenSSL liberou correções para 18 falhas, incluindo a CVE-2026-45447, um bug do tipo heap use-after-free na verificação PKCS#7. A vulnerabilidade pode permitir a execução remota de código por meio de mensagens PKCS#7 ou S/MIME maliciosas.
Pesquisadores identificaram um novo malware para Android chamado MagicAd, capaz de contornar proteções do sistema operacional para sobrecarregar dispositivos com anúncios. O malware estava presente em mais de 50 jogos modificados distribuídos em lojas de aplicativos, incluindo a da Xiaomi. Após a instalação, o código utiliza um agendador de tarefas para reiniciar continuamente seu serviço em segundo plano, enviando comandos a aplicativos nativos para exibir anúncios em formato de banners.
A Include Security descobriu que o SDK da Bright Data, embutido em apps gratuitos distribuídos por PlayWorks Digital, CloudTV e Viber nas plataformas Samsung, LG e Roku, converte silenciosamente as TVs em nós de saída de proxy residencial. A operação usa a flag ignore_screen_on:true, funcionando mesmo com a tela desligada, e impõe um limite mensal de 200 GB de dados trafegados pelo dispositivo do usuário.
A Microsoft removeu cerca de 70 projetos open source do GitHub após a descoberta de malware em ferramentas vinculadas ao Azure, Claude Code, CLI do Gemini e VS Code. Os pacotes infectados capturavam senhas e credenciais no momento em que desenvolvedores executavam as ferramentas. O caso pode estar relacionado a um comprometimento anterior do projeto Durable Task, indicando reincidência de acesso indevido aos repositórios.
A Microsoft implementou um atraso de duas horas nas atualizações automáticas de extensões do VS Code para reduzir o risco de ataques à cadeia de suprimentos. A medida não se aplica a editores confiáveis como Microsoft, GitHub e OpenAI, que continuam recebendo atualizações imediatas. Usuários ainda podem forçar atualizações manuais. Estratégia semelhante já é adotada por ferramentas como npm, Yarn e Bundler para conter a propagação de pacotes recém-publicados e potencialmente maliciosos.
A Black Hills Information Security lançou o GoGatoZ, ferramenta open source em Go para auditoria de GitLab CI/CD, e a utilizou para escanear 3.757 projetos públicos no gitlab.com. O resultado: 7.331 descobertas, sendo 1.580 de severidade alta. Cerca de dois terços dos projetos tinham ao menos uma configuração incorreta. As principais falhas envolvem pipelines de merge request em forks não protegidos, permitindo exfiltração de variáveis de CI , , runners Docker com privilégios elevados, padrões inseguros como curl | bash e injeção de comandos em scripts shell. A recomendação é fixar imagens de container em SHAs, migrar segredos para variáveis mascaradas e restringir runners auto-hospedados a branches protegidos.
Pesquisadores identificaram e reportaram uma vulnerabilidade já corrigida no editor Cursor que permitia execução de código na máquina da vítima apenas com a abertura de um repositório. A falha explorava um sandbox breakout no parser shouldBlockShellCommand, que não bloqueava comandos como export, cd e echo. O ataque comprometia o binário cursor-tunnel e usava a infraestrutura Dev Tunnels da Microsoft para obter acesso shell não autenticado.
O Conselho da cidade de York, no Reino Unido, enviou um e-mail a titulares do Blue Badge, documento que garante benefícios a pessoas com deficiência, sem usar o campo CCO. Com isso, centenas de endereços de e-mail ficaram visíveis para todos os destinatários, expondo indiretamente sua condição. O erro configura violação de privacidade sob o GDPR, com riscos reais de discriminação, phishing e uso indevido de dados pessoais. Autoridades exigem investigação imediata e correções estruturais na gestão de comunicações sensíveis.
Na Build 2026, a Microsoft revelou o MXC, um sistema agnóstico de sandbox para executar código não confiável e agentes. Ao contrário de soluções como Codex ou Claude Code, que operam no nível de aplicação, o MXC atua diretamente no kernel do sistema operacional. Ele adapta dinamicamente seu backend conforme o ambiente: AppContainer, Windows.AI.IsolationBroker, microVMs do WSL, NanVix, máquinas virtuais descartáveis do Windows, namespaces via bubblewrap ou Seatbelt no macOS, priorizando isolamento robusto sem depender de camadas de abstração de alto nível.
Atacantes exploraram APIs de registro de dispositivos da Dashlane para executar ataques de spray com códigos de autenticação de dois fatores (2FA), forçando a emissão de tokens válidos. Com isso, conseguiram registrar novos dispositivos em pelo menos 20 contas, o suficiente para baixar cofres de senhas criptografados. Embora os dados permaneçam protegidos pela senha mestra (com Argon2), senhas fracas ou reutilizadas ficam vulneráveis se essa senha for comprometida. A Dashlane recomenda que usuários afetados alterem imediatamente suas senhas mestras e credenciais armazenadas.
O Mid and South Essex NHS Foundation Trust, um dos maiores grupos hospitalares da Inglaterra, confirmou o roubo de 2.380 registros de pacientes após um ataque cibernético a um fornecedor terceirizado de testes laboratoriais. O mesmo incidente comprometeu dados de outros hospitais. Entre as informações expostas estão nomes, datas de nascimento, números de identificação do NHS, endereços e resultados de exames.
O domínio polyfill.io, sequestrado por uma entidade chinesa em 2024, foi reativado no final de maio e começou a exibir prompts nativos de credenciais em sites que nunca removeram os scripts incorporados. Páginas da Toshiba, Muji, Zojirushi, FiNC Technologies, Ishiyaku Publishers, Hobonichi e TVs Samsung passaram a retornar respostas HTTP 401, enganando usuários com telas falsas de login geradas pelo próprio navegador.
A Astral introduziu duas funcionalidades de segurança em preview no gerenciador de pacotes Python uv: o 'uv audit', scanner nativo de dependências com desempenho 4–10× superior ao pip-audit graças às resoluções bloqueadas do uv; e uma verificação de malware baseada em OSV, ativada via UV_MALWARE_CHECK=1, que consulta avisos da MAL em cada sincronização para bloquear instalações de pacotes maliciosos. A medida corrige falha crítica em instaladores que permitem carregar distribuições mesmo após sua remoção do PyPI, um risco sério para integridade de lockfiles e cadeias de suprimento.
Em fevereiro de 2025, a Lansing Community College identificou um acesso não autorizado aos seus sistemas por meio de credenciais comprometidas. O incidente expôs nomes, endereços, datas de nascimento, dados de carteira de motorista, números de Social Security e outros registros de 174.307 pessoas. A instituição oferece 24 meses de monitoramento de crédito e proteção de identidade aos afetados. Até o momento, não há evidências de exfiltração ou uso indevido dos dados, e nenhum grupo de ameaça foi responsabilizado.
Na sequência do Project Glasswing, a Cloudflare reforça que a eficácia contra ameaças em modelos de IA não depende só da velocidade de correção, mas da robustez da arquitetura de defesa ao redor. O post detalha como essa camada, projetada para mitigar explorações em modelos de ponta, é estruturada, quais vetores de ataque ela neutraliza (como prompt injection e data exfiltration) e como a própria Cloudflare opera internamente como 'customer zero', validando em produção antes de disponibilizar para clientes.
A Fortinet identificou a C0XMO, variante modular do Gafgyt que explora a CVE-2021-27137, falha de buffer overflow não autenticada no firmware DD-WRT, permitindo execução arbitrária de código. O malware infecta roteadores, DVRs e dispositivos IoT com 19 métodos de DDoS, força bruta em SSH/Telnet e persistência via tarefas agendadas a cada 15 minutos. Diferencial: elimina botnets rivais antes de se conectar ao C2. Recomenda-se aplicar patches imediatamente, trocar credenciais de administrador e monitorar conexões anômalas.
Pesquisadores identificaram uma campanha de malvertising que abusa do Google Ads para distribuir versões maliciosas de ferramentas de segurança conhecidas, como Ghidra, dnSpy e SpiderFoot. As páginas falsas imitam os sites oficiais e exibem links aparentemente legítimos, mas scripts ocultos redirecionam o usuário via sistema de distribuição de tráfego (TDS). Após múltiplos redirecionamentos, a vítima baixa um infostealer capaz de roubar credenciais e dados sensíveis.
Dados do Majestic Million revelam que, apesar de 57,1% dos domínios publicarem DMARC, apenas 26% aplicam a política com p=reject ou quarantine, deixando a porta aberta para spoofing. A recomendação é tratar a autenticação de e-mail como uma sequência de capacidades: migrar para p=reject pode reduzir o spoofing de domínio em até 85%. Na sequência, integrar MTA-STS, TLS-RPT e CAA. Tecnologias como DNSSEC e DANE ficam para modelos de ameaça específicos, o foco deve ser eliminar vetores ativos como senhas fracas antes de combater cenários teóricos.
O Module Stomping sobrescreve a seção .text de DLLs assinadas para ocultar a execução de shellcode em regiões de memória baseadas em disco, driblando telemetria comportamental e scanners tradicionais. O ataque carrega uma DLL sacrificial, localiza uma função exportada via GetProcAddress, grava o shellcode com WriteProcessMemory e executa via CreateThread, mantendo tudo dentro do espaço de um módulo legítimo. Para defesa, é essencial monitorar divergências entre módulos em memória e suas imagens em disco. Técnicas como PEB-walking e ofuscação de resolução de API estendem a eficácia contra EDRs maduros.
