O OpenClaw contém quatro falhas encadeadas: um TOCTOU write escape que permite alterações de host, vazamento de segredos por variáveis de ambiente, um bug de loopback que concede direitos de proprietário e um TOCTOU read escape que expõe arquivos. Atacantes podem passar de um plugin malicioso ou prompt para roubo de dados, escalada de privilégios e persistência em instâncias OpenClaw amplamente expostas. Medidas como a aplicação de patches e a rotação de segredos são urgentes.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2141 notícias
Um atacante utilizou um token roubado para acessar o ambiente GitHub da Grafana e fazer o download do seu codebase, exigindo pagamento para manter os dados privados. A Grafana invalidou as credenciais, adicionou controles de segurança adicionais e recusou o pagamento. Relatos vinculam a tentativa de extorsão ao grupo CoinbaseCartel, que foca em roubo de dados e extorsão em múltiplos setores.
Fragnesia é um bug de escalação local de privilégios no kernel Linux no componente XFRM ESP-in-TCP que corrompe dados do page-cache ao descriptografar dados TCP enfileirados in-place. A vulnerabilidade permite que um usuário sem privilégios altere bytes em páginas baseadas em arquivo e sequestre binários como /usr/bin/su para obter shell root. A mitigação foca em patches do kernel, desabilitação de esp4/esp6/rxrpc, restrição de namespaces não-privilegiados e monitoramento de atividades XFRM e AF_ALG.
A análise da Depthfirst sobre o NGINX encontrou quatro bugs de corrupção remota de memória, incluindo o heap overflow CVE-2026-42945 no mecanismo de script rewrite/set, presente desde 2008 em produtos NGINX e F5 amplamente implantados. O bug permite que uma sequência crafted de rewrite mais set calcule incorretamente o comprimento do buffer, causando overflow de dados do heap com bytes de URI escapados, que atacantes usam para corromper ponteiros de limpeza ngx_pool e executar comandos via sistema. A exploração confiável aproveita heaps de worker determinísticos, heap feng shui entre requisições e sprays de body POST binário, então qualquer um executando NGINX vulnerável com rewrite/set precisa de correção urgente e revisão de configuração.
O broker de acesso inicial KongTuke está alternando entre cinco tenants do Microsoft 365 para se passar por funcionários de TI em chats externos do Teams e enganar funcionários para executar PowerShell que baixa um ZIP do Dropbox e lança uma versão evoluída do ModeloRAT com um pool de cinco servidores C2, reverse shell e fallbacks de backdoor TCP, além de uma tarefa agendada em nível SYSTEM que sobrevive à rotina de autodestruição do próprio implante.
A Broadcom lançou uma atualização para o VMware Fusion corrigindo a CVE-2026-41702, um bug de TOCTOU em binário SETUID que permite a usuários locais não-administrativos escalarem privilégios para root em hosts macOS.
O Signal alertou que deixará o Canadá se for forçado a cumprir o projeto de lei C-22, conhecido como lei de acesso legal. Entre outras disposições, esta lei permitiria ao governo canadense criar backdoors de criptografia para acessar comunicações confidenciais. A Apple também declarou que não adicionará backdoor à sua criptografia de ponta a ponta e pode não conseguir lançar certas funcionalidades no Canadá se a lei for aprovada.
YellowKey é um bypass do BitLocker que requer acesso físico via USB, e GreenPlasma é uma falha de escalação de privilégios que concede acesso SYSTEM. A primeira vulnerabilidade permite acesso irrestrito ao shell em máquinas protegidas pelo BitLocker, transformando laptops roubados em notificações de violação. Pode ser mitigada com PIN do BitLocker e senha da BIOS. Atualmente não há mitigação disponível para a segunda.
A Doyensec detalhou quatro padrões de ataque contra User Pools multi-tenant do AWS Cognito que aceitam IdPs OIDC/SAML fornecidos pelo tenant: injeção de identidade fantasma JIT quando PreSignUp_ExternalProvider não verifica domínios, gaps de trigger-source onde restrições aplicadas apenas a PreAuthentication_Authentication ignoram primeiros logins federados, ataques de sub-splitting contra parsing de userName ProviderName_sub, e sequestros de IdpIdentifier (ex.: reivindicar gmail.com) quando propriedade do domínio não é verificada. Colisões homoglyph no ProviderName (е cirílico vs e ASCII) também permitem confusão de identidade dividida entre Hosted UI, logs de auditoria e consumidores Lambda. Defensores devem ramificar lógica PreSignUp através de todos os valores triggerSource, fazer parse de usernames com split("_", 1) consistentemente tanto em guard quanto consumer, derivar atributos tenant/role server-side ao invés de via AttributeMapping, e restringir claims IdpIdentifier atrás de propriedade de domínio verificada; a Doyensec também lançou o maSSO, um IdP OIDC/SAML/SCIM weaponizado para testes de SP.
O Varonis Threat Labs descobriu um novo kit de phishing chamado Bluekit que oferece mais de 40 templates de sites, compra e registro automatizado de domínios, suporte 2FA, spoofing, emulação de geolocalização, notificações via Telegram e navegador, cloaking antibot e um assistente de IA. A empresa obteve acesso ao toolkit para testar o assistente de IA e descobriu que ele oferece um Llama padrão sem restrições junto com opções comerciais como GPT-4.1, Sonnet 4, Gemini e variantes Deepseek. O Varonis constatou que as capacidades reais eram muito mais limitadas que o esperado e que apenas um rascunho genérico de campanha foi gerado, com muitos placeholders.
A OpenAI publicou um comunicado de segurança informando que dispositivos de dois funcionários foram comprometidos como parte do ataque à cadeia de suprimentos TanStack. A empresa disse que o incidente não afetou dados de clientes, sistemas de produção, propriedade intelectual ou software implantado, mas está rotacionando certificados de assinatura de código como precaução.
A empresa de segurança WordPress WordFence reporta uma nova vulnerabilidade de bypass de autenticação no plugin Burst Statistics. O Burst Statistics é um plugin de analytics focado em privacidade que está ativo em mais de 200 mil sites. A vulnerabilidade surge da interpretação incorreta da função `wp_authenticate_application_password` pelo plugin e pode ser explorada por atacantes para se autenticarem como qualquer administrador cujo nome de usuário eles conheçam.
Pesquisadores da Akamai analisaram cerca de 300 servidores MCP e encontraram falhas concretas de back-end nas implementações Apache Doris, Apache Pinot e Alibaba RDS, incluindo SQL injection explorável, acesso HTTP não autenticado a ferramentas e retrieval não autenticado de estruturas de tabelas RAG. Atacantes que conseguem alcançar endpoints MCP expostos podem executar queries SELECT arbitrárias ou injetar SQL no Doris via parâmetro db_name não verificado, além de exfiltrar metadados de schema do MCP da Alibaba RDS.
Uma conta em fórum ligada ao TeamPCP está vendendo aproximadamente 5GB de código-fonte supostamente interno da Mistral IA, abrangendo cerca de 450 repositórios por US$ 25 mil. A oferta surgiu dias após o mesmo ator ser associado à campanha de supply chain Mini Shai-Hulud, que sequestrou tokens OpenID Connect para envenenar pacotes npm e PyPI.
O domínio de anúncios clearnet do ShinyHunters, shinyhunte.rs, saiu do ar em 11 de maio após o registro RNIDS da Sérvia suspendê-lo. O grupo confirmou a derrubada em seu site onion e alertou que o domínio .rs pode ser reutilizado para personificação. O ShinyHunters declarou que operará exclusivamente através de sua infraestrutura de vazamentos baseada em Tor, reduzindo sua presença pública após a campanha de defacement do Canvas LMS que afetou universidades em 11 estados americanos. Nenhuma agência reivindicou publicamente a ação, deixando em aberto se o RNIDS agiu por iniciativa própria ou por referência de autoridades estrangeiras.
A Foxconn, maior fabricante de eletrônicos do mundo, confirmou que algumas de suas fábricas norte-americanas sofreram um ataque de ransomware. O grupo Nitrogen reivindicou a responsabilidade pelo ataque e declarou ter roubado 8TB de dados contendo mais de 11 milhões de documentos. Os documentos incluem instruções confidenciais, projetos e desenhos de clientes como Apple, Intel, Google, Nvidia e outras empresas.
A DepthFirst lançou a Open Defense Initiative, oferecendo até US$ 5 milhões em créditos da plataforma para mantenedores de projetos open source amplamente utilizados executarem descoberta autônoma de vulnerabilidades e geração de patches em seus códigos, antecipando-se às capacidades de hacking frontier que chegarão aos modelos open-weight sem censura. A empresa afirma que seu harness, modelos de exploitabilidade pós-treinados e contexto de sistema completo encontraram e corrigiram 12 vulnerabilidades de corrupção de memória no FFmpeg por US$ 1.000 em compute, enquanto o Mythos da Anthropic perdeu essas falhas em várias centenas de scans custando cerca de US$ 10.000. FFmpeg, Envoy e Kata já aderiram à iniciativa. Mantenedores de projetos críticos para downstream podem se inscrever através de um formulário, com comprovação de manutenção exigida antes da liberação dos créditos.
Hackers acessaram os sistemas da OpenLoop Health entre 7 e 8 de janeiro e roubaram dados de 716 mil pessoas, incluindo informações de contato e dados médicos, mas não prontuários eletrônicos, números de CPF americano ou dados financeiros. A empresa cortou o acesso, contratou especialistas externos, notificou reguladores e está oferecendo um ano de monitoramento de identidade e crédito. Um ator de ameaça afirma ter exfiltrado 1,6 milhão de registros.
LLM-as-a-Judge é um framework comum onde um LLM revisa uma entrada, atribui uma pontuação e seleciona o token de maior probabilidade. Este framework frequentemente produz empates porque a granularidade da pontuação é muito grosseira. Os autores introduzem LLM-as-a-Verifier como framework alternativo que alcança maior precisão de decisão e elimina empates ao escalar o número de verificações repetidas, a granularidade dos tokens de pontuação e a decomposição dos critérios de avaliação.
Um honeypot Raspberry Pi simulando um stack privado de IA rodando Ollama, LM Studio, AutoGPT, LangServe e servidor MCP com Qwen3-Coder 30B foi indexado pelo Shodan em três horas e recebeu mais de 113 mil requisições em um mês. Dessas, 23% sondaram endpoints de capacidade de IA como /api/tags, /v1/models, /.cursor/rules e /.well-known/mcp.json, com 175 tentativas ativas de LLM-hijacking na última semana visando roubo de compute, abuso de proxy de API contra Anthropic e extração de credenciais .env. O tooling padronizado LLM-Scanner usado para reconhecimento foi atualizado durante o experimento para detectar honeypots de resposta automática, sinalizando maturação do ecossistema compartilhado entre atacantes LLMjacking. Defensores devem vincular servidores de modelo local ao localhost, controlar acesso remoto com tokens de curta duração OIDC/OAuth2, segmentar infraestrutura de IA com allowlists e TLS, emitir tokens separados por componente MCP/LLM/RAG, instalar EDR em hosts de IA e direcionar logs de prompt-resposta com cotas de consumo para SIEM com retenção resistente a adulteração.
