Clientes do GitHub Enterprise Server devem realizar imediatamente a rotação da chave de assinatura do produto. A atualização oficial confirma que houve acesso não autorizado a repositórios internos da GitHub, embora nenhum dado de cliente tenha sido comprometido, a medida é crítica para prevenir exploração de assinaturas falsificadas em ambientes locais. A ação afeta apenas instâncias auto-hospedadas e exige intervenção manual dos administradores. A GitHub já disponibilizou instruções detalhadas e patches para todas as versões suportadas.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2141 notícias
O BGP continua vulnerável a sequestros de rotas e vazamentos de caminho, comprometendo a integridade do tráfego global. Embora o RPKI ofereça proteção parcial, ele não impede caminhos forjados que iniciam com um ASN inválido. A Cloudflare passou a impor, de forma prática e escalável, que o primeiro AS no atributo AS_PATH seja o proprietário legítimo do prefixo, uma camada adicional de validação simples, eficaz e compatível com a infraestrutura existente.
A Push Security identificou uma campanha de malvertising que abusa do recurso de compartilhamento de conversas do ChatGPT. Páginas falsas simulam alertas de suporte da Apple com notificações de falsa interrupção de serviço, induzindo o usuário a baixar um suposto app desktop. O clique redireciona para um site de phishing que imita o portal legítimo e instala um infostealer na máquina da vítima.
A Ultrahuman, fabricante de wearables de saúde, notificou clientes sobre uma violação de dados em seu sistema de análise interno. Invasores acessaram informações como contatos, detalhes de contas, histórico de pedidos e transações. A empresa confirmou que dados financeiros e de saúde não foram comprometidos no incidente.
O grupo de ransomware ShinyHunters afirmou ter roubado e divulgado 234 GB de dados da DentaQuest, operadora de benefícios odontológicos, depois que a empresa se recusou a pagar o resgate exigido. Os dados expostos incluem e-mails, nomes, telefones, documentos de identidade, informações de planos de saúde, datas de nascimento e gênero. O serviço Have I Been Pwned confirmou o incidente, apontando 2,6 milhões de registros comprometidos, dos quais 66% já estavam em sua base.
Pesquisadores da Token Security descobriram uma cadeia de ataque crítica no ambiente sandbox Python do Zapier: o comando os.system executava livremente, permitindo scraping de tokens STS órfãos do heap Lambda com permissões para ECR e repositórios privados. Imagens foram extraídas via API direta do ECR, contornando o monitoramento do Docker. Tokens NPM de alto privilégio também foram vazados via ARG/ENV em build, viabilizando takeover de contas. A mitigação exige validação de permissões IAM, isolamento de código não confiável, uso de BuildKit secrets, rotação de tokens NPM de CI e monitoramento de egress.
Pesquisador testou modelos open-weight e o Opus 4.7 na detecção da vulnerabilidade crackaddr em quatro variantes. Com o harness do Claude Code, apenas Opus 4.7 e GLM-5.1 identificaram todas consistentemente. Outros modelos performaram melhor com o IronCurtain, harness desenvolvido para testes de segurança. O salto do GLM-5 para o GLM-5.1 evidencia o papel decisivo do post-training na eficácia dessas ferramentas para pesquisa de vulnerabilidades.
O preview Mythos da Anthropic identificou uma vulnerabilidade RCE antiga no FreeBSD. O framework AISLE reproduziu a falha em modelos open-weight como Gemma e GPT-OSS, varrendo o subsistema sys/rpc. Modelos detectam o stack overflow em arquivos isolados, mas análises amplas geram falsos positivos. Uma etapa de reachability, filtrando caminhos controláveis pelo atacante, preserva a CVE real e transforma saídas ruidosas em listas tratáveis para revisão humana.
A Disruption Week reuniu forças de segurança e big techs para desativar mais de 1,4 milhão de contas fraudulentas, incluindo páginas, contas Microsoft e kits Starlink, vinculadas a esquemas no Camboja, Laos e Birmânia. As operações envolviam tráfico de trabalhadores forçados a aplicar golpes de investimento em criptomoedas. Resultado: 63 prisões e bloqueio de US$ 3,8 milhões em ativos digitais.
Um ataque à supply chain da versão Windows do Hola Browser resultou na inclusão de um minerador de Monero não assinado (me.exe). O malware adiciona uma exclusão ao Windows Defender, copia-se para a pasta Program Files como HolaMonitorService.exe e se registra como serviço de inicialização automática (hola_monitor_svc), ativando a mineração sempre que a máquina fica ociosa.
A SafeBreach descobriu o ataque 'Fake Context Alignment': notificações de WhatsApp, Slack e SMS eram usadas para injetar instruções ocultas que o Gemini processava silenciosamente. O exploit permitia controlar dispositivos Google Home, iniciar chamadas no Zoom, falsificar contatos e corromper a memória de longo prazo do assistente. O Google corrigiu a falha em meados de novembro de 2025 com melhorias nos classificadores de segurança.
A CVE-2026-23479, falha de use-after-free na função unblockClientOnKey() do Redis, afeta todas as versões stable desde a 7.2.0 e foi classificada com severidade 7.7 (High). O bug permite que atacantes autenticados encadeiem heap leak via Lua, despejo forçado e sobrescrita GOT de strcasecmp() pela function system(), resultando em execução remota de código com privilégios do daemon. Ambientes auto-hospedados devem atualizar imediatamente para as versões 7.2.14, 7.4.9, 8.2.6, 8.4.3 ou 8.6.3, ou restringir comandos CONFIG, @scripting e stream.
Um incidente de segurança ocorrido em 2025 na Universidade Columbia comprometeu 1,8 milhão de números de seguridade social (SSNs), atingindo inclusive pessoas sem qualquer relação com a instituição. A causa: registros de recrutamento e testes armazenados em uma base legada esquecida durante o processo de saneamento de dados. A universidade levou meses para responder aos afetados e agora enfrenta ação coletiva e escrutínio regulatório pela retenção prolongada e indevida de informações pessoais sensíveis.
A Unit 42 rastreou a Operação FlutterBridge, uma campanha com motivação financeira que distribui o backdoor FlutterShell para macOS por meio de anúncios verificados pelo Google, veiculados por empresas de fachada. Os payloads, como PodcastsLounge e PDF-Brain, possuem notarização da Apple e não apresentam detecções no VirusTotal. O FlutterShell utiliza uma ponte JavaScript-to-native via WebView para buscar comandos de runtime, realiza fingerprinting de hosts pelo IOPlatformUUID e sequestra buscas no Chrome. Versões recentes também exfiltram documentos sob o pretexto de funcionalidades de IA para resumo de texto. Defensores devem monitorar domínios C2 como atsheisdomestic[.]org, etoftheappyrince[.]org e healightejustb[.]org, além de verificar hashes SHA256 e comportamentos suspeitos no Chrome. Ressalta-se que a notarização da Apple não deve ser considerada uma garantia de safety.
A CISA adicionou a CVE-2024-21182, uma falha no Oracle WebLogic Server com pontuação CVSS 7.3, ao seu catálogo de vulnerabilidades exploradas conhecidas. A brecha permite que atacantes não autenticados acessem dados críticos, e administradores federais têm até a próxima quinta-feira para aplicar as correções nas versões 12.2.1.4.0 e 14.1.1.0.0. Embora o bug tenha sido corrigido no Critical Patch Update de julho de 2024, pesquisadores apontam que a adição tardia ao catálogo KEV reflete um padrão comum, onde a demora na aplicação de patches expõe organizações a riscos significativos. Considerando que atacantes frequentemente exploram vulnerabilidades poucas horas após a divulgação, o prazo médio de 60 dias para correção é insuficiente. Especialistas reforçam que a pontuação moderada do CVSS subestima o risco real do cenário atual, sendo essencial tratar a atualização como uma prioridade imediata para mitigar a exploração ativa do ambiente.
O Programa Mundial de Alimentos (WFP) confirmou que investiga uma violação de dados que expôs informações de 600 mil famílias em Gaza. A exposição ocorreu por meio de uma falha na sua aplicação de autorregistro (SRA), utilizada por palestinos na região. Um denunciante anônimo apontou que a organização levou duas semanas para notificar os indivíduos afetados por meio do Telegram.
O pesquisador Ammar Askar demonstrou que um link malicioso do GitHub.dev, contendo um Jupyter notebook preparado para ataque, pode exfiltrar silenciosamente tokens OAuth, contornar prompts de confiança, enumerar repositórios privados e explorar a ausência de tokens CSRF.
Embora o debate sobre segurança de IA esteja focado em modelos extensos como o Claude Mythos, pesquisadores da Universidade de Toronto demonstraram que um worm de IA criado com um modelo open-weight em uma única GPU pode comprometer redes. O malware não identifica vulnerabilidades inéditas, mas busca falhas já divulgadas e se adapta para se mover lateralmente em redes que não estão totalmente corrigidas. Ao infectar uma máquina, o worm sequestra recursos de compute para sustentar seu processo de raciocínio, tornando-se mais eficiente conforme se propaga.
A Anthropic expandiu sua iniciativa de busca por vulnerabilidades via IA, o Project Glasswing, incluindo mais 150 empresas focadas em infraestruturas críticas como energia, água, saúde, comunicações e hardware. A estimativa é que ataques bem-sucedidos em bases de código desses setores possam impactar mais de 100 milhões de pessoas por parceiro. Embora a iniciativa ajude na descoberta de bugs, analistas alertam que o gargalo real está na execução, já que fornecedores e SOCs já enfrentam dificuldades para validar, priorizar e aplicar patches em falhas conhecidas, aumentando o risco de transformar problemas de visibilidade em crises operacionais. Pesquisadores também apontam lacunas de confiança em relação aos requisitos de segurança para novos participantes e na precisão de patches gerados por IA, além de preocupações sobre a exposição de modelos que já registraram episódios de vazamento.
A Calif divulgou uma vulnerabilidade denominada HTTP/2 Bomb, um ataque remoto de negação de serviço que afeta nginx, Apache httpd, Microsoft IIS, Envoy e Cloudflare Pingora em suas configurações padrão. Identificada com o auxílio do Codex da OpenAI, a falha encadeia duas técnicas antigas: uma bomba de referência indexada HPACK, onde cada referência de 1 byte força alocações de 70 a 4.000 bytes, e um travamento de janela de controle de fluxo que retém essa memória. Isso permite que um único cliente consuma cerca de 32 GB em Apache httpd ou Envoy em apenas 20 segundos. O problema decorre de uma interpretação falha na RFC 7541, que ignorou o risco de pinning de memória via HTTP/2, resultando na mesma classe de bug em diversas implementações.
