Pesquisadores utilizando a IA Claude descobriram uma falha no Apache ActiveMQ Classic que permaneceu indetectada por 13 anos. Essa falha permite que atacantes forcem o broker a buscar um arquivo Spring XML remoto e executar comandos arbitrários durante a inicialização. A vulnerabilidade normalmente exige autenticação para ser explorada, mas nas versões 6.0.0 a 6.1.1, ela pode ser encadeada com outra vulnerabilidade para alcançar RCE não autenticado.
Todas as notícias
CEVIU Segurança da Informação
Notícias, pesquisas e ferramentas para profissionais de segurança da informação
2153 notícias
Uma backdoor ELF x86-64 sem detecção (0/72 VT), atribuída ao APT41 (Winnti), mira em cargas de trabalho de nuvem Linux em AWS, GCP, Azure e Alibaba Cloud. Ela coleta credenciais IAM/managed identity via metadata APIs, as criptografa com AES-256 e as exfiltra pela porta SMTP 25 para um servidor C2 em 43[.]99[.]48[.]196 (Alibaba Cloud Cingapura), escondido atrás de três domínios de typosquat registrados no NameSilo (ai[.]qianxing[.]co, ns1[.]a1iyun[.]top e ai[.]aliyuncs[.]help) que evitam detecção por Shodan/Censys através de validação seletiva de EHLO token. O implante alcança movimento lateral peer-to-peer por meio de transmissões UDP para 255.255.255.255:6006, representando a fase mais recente de uma linha ELF Winnti de 6 anos, que progrediu de PWNLNX (2020) através de KEYPLUG (2023) até este coletor de credenciais de nuvem construído especificamente para esse fim. Defensores devem monitorar a saída na porta 25 de cargas de trabalho não relacionadas a e-mail, o tráfego de transmissão UDP 6006, leituras de ~/.aws/credentials e caminhos equivalentes de credenciais de nuvem por processos não-padrão, e impor IMDSv2 na AWS para bloquear o abuso não autenticado de metadata API.
O Google anunciou que a criptografia de ponta a ponta agora está disponível em todos os dispositivos Android e iOS para usuários corporativos. Após os administradores habilitarem o recurso, os usuários poderão ativar a Criptografia Avançada e enviar mensagens criptografadas diretamente do aplicativo Gmail.
A CVE-2026-27654 é um heap buffer overflow no módulo WebDAV do nginx, acionado quando o cabeçalho Destination é mais curto que o prefixo de localização, resultando em um underflow não assinado. A vulnerabilidade exige uma configuração não padrão, incluindo ngx_http_dav_module, alias e os métodos DAV COPY ou MOVE. O Claude identificou o bug e criou o PoC inicial de crash. Subsequentemente, três pesquisadores desenvolveram duas variantes adicionais: uma permitindo escrita arbitrária de arquivos e outra capaz de ler /etc/passwd com uma única requisição COPY. No dia 24 de março, quando a correção do nginx foi tornada pública, um commit-watcher de IA gerou um PoC de crash no mesmo dia.
A Sublime Security emprega uma linguagem específica de domínio, a Message Query Language (MQL), para viabilizar a caça histórica a ameaças e o backtesting de detecção em sua plataforma de segurança de e-mail. Esta abordagem otimiza o processo dividindo as buscas em uma fase de seleção de candidatos e uma fase de avaliação. Isso permite que operações MQL de baixo custo sejam executadas primeiro, filtrando os resultados antes que as operações mais complexas e caras sejam processadas. O artigo demonstra o progresso de uma caça a ameaças usando uma query de exemplo que busca por todas as mensagens não solicitadas com faturas do PayPal anexadas em outubro de 2025.
Em um julgamento realizado no Texas em abril de 2026, o FBI revelou que utilizou a ferramenta Cellebrite para extrair mensagens do Signal de bancos de dados de notificações push do iOS. Essas mensagens persistem no sistema mesmo após a desinstalação do aplicativo. Para mitigar essa vulnerabilidade, é possível configurar a opção "Mostrar Pré-visualizações" para "Nunca" nas definições de notificação do iOS e, adicionalmente, desativar o conteúdo das notificações dentro do próprio aplicativo Signal.
O Fight Fraud Framework (F3) da MITRE é uma Base de conhecimento pública que descreve táticas, técnicas e procedimentos de fraudadores, incluindo esquemas cibernéticos realizados por canais online. O F3 estende o ATT&CK com novas táticas de posicionamento e monetização, além de refinar várias táticas já existentes, oferecendo uma visão detalhada das operações fraudulentas.
O XChat, futuro aplicativo de mensagens autônomo do X, foi listado na App Store antes do lançamento previsto para 17 de abril no iOS.
LucidRook é um backdoor baseado em Lua que visou ONGs e universidades taiwanesas por meio de duas cadeias de phishing direcionado em outubro de 2025. Uma cadeia baseada em LNK onde um arquivo protegido por senha entrega uma carta governamental isca junto com um dropper LucidPawn que realiza DLL-sideloading de LucidRook através de um executável do Microsoft Edge renomeado. A segunda é uma cadeia baseada em EXE usando um instalador falso da Trend Micro para atingir o mesmo resultado. Uma vez em execução, LucidRook busca payloads de bytecode Lua de segunda etapa de um C2 (hospedado brevemente e removido após a entrega para dificultar a forense), coleta dados de reconhecimento do sistema, criptografa-os com RSA em arquivos protegidos por senha e os exfiltra via FTP. Uma ferramenta auxiliar, LucidKnight, abusa do GMTP do Gmail para exfiltração de dados. Defensores devem procurar por sideloading de DismCore[.]dll, tráfego FTP de saída de cargas de trabalho que não sejam de servidor e tráfego anômalo da Gmail API a partir de endpoints como pontos de detecção iniciais.
⚠
Pesquisadores enganam Apple Intelligence para proferir ofensas; o cenário poderia ter sido bem pior
Pesquisadores da RSAC conseguiram sequestrar a Apple Intelligence em iPhones compatíveis por meio de um ataque de prompt-injection Neural Exec, utilizando também um truque de sobrescrita Unicode right-to-left. Eles codificaram saídas maliciosas em inglês de forma invertida para contornar os filtros da Apple, resultando na execução de 76 de 100 prompts. Isso incluiu desde respostas abusivas até ações silenciosas, como criar ou renomear contatos, visando ganhar confiança no dispositivo da vítima.
Pesquisas convergentes da CalTech/Oratomic e da divisão Quantum IA do Google reduziram o limiar estimado de qubits para quebrar a criptografia clássica de milhões para apenas 10.000, com uma máquina viável potencialmente operacional antes de 2030, comprimindo o que era um horizonte de planejamento teórico de duas décadas em uma preocupação ativa de deployment. Operações de "coleta agora, descriptografa depois" e os investimentos quânticos acelerados da China (incluindo o deployment comercial do sistema Huanyuan 1 de 100 qubits) são os principais impulsionadores da ameaça, levando organizações como o Google a acelerar a migração pós-quântica. Equipes de segurança devem tratar a adoção de algoritmos pós-quânticos validados pelo NIST como um programa ativo, e não como um item de roadmap, com urgência particular para dados criptografados de longa duração, infraestrutura de blockchain e quaisquer sistemas onde a rotação de chaves é operacionalmente complexa.
Perturbações geopolíticas, como incidentes marítimos, instabilidade da rede de energia e ciberataques estatais visando a infraestrutura de IA, são agora um gatilho sistêmico e crível para perdas em data centers, estendendo-se muito além da pegada física de um operador. A cobertura de interrupção de serviço e interrupção de negócios contingente (CBI) são os principais mecanismos de apólice em jogo. Contudo, espera-se que as seguradoras contestem as reivindicações, estreitando o escopo de "propriedade dependente" e invocando exclusões de guerra ou cibernéticas onde a atribuição a um ator estatal é alegada. Operadores de data centers devem auditar as provisões de CBI para a profundidade da cadeia de suprimentos, examinar a linguagem de exclusão de guerra e cibernética para exceções de ambiguidade, e enquadrar quaisquer reivindicações ligadas a eventos geopolíticos em torno de especificidades de causalidade antes que as seguradoras estabeleçam a narrativa.
A Access Now e a Lookout expuseram uma campanha de hack-for-hire que visava jornalistas, ativistas e autoridades em todo o Oriente Médio, Norte da África, Reino Unido e, potencialmente, nos EUA. Os atacantes realizaram phishing de credenciais de Apple ID para acessar backups do iCloud e implantaram um spyware chamado ProSpy, disfarçado como Signal, WhatsApp e Zoom. O grupo tem laços com o BITTER APT e, possivelmente, com a Appin, uma empresa indiana de hack-for-hire.
A HackerOne suspendeu novas submissões ao seu Internet Bug Bounty após ferramentas de IA inundarem os programas com relatórios de baixo valor, superando a capacidade dos mantenedores voluntários de triar e corrigir os problemas.
O LinkedIn escaneia o Chrome e outros navegadores Chromium em busca de milhares de extensões ligadas a scraping e ferramentas competitivas. Esta prática desencadeou duas ações coletivas na Califórnia, alegando rastreamento não divulgado, compartilhamento de dados e inferences de perfis sensíveis. A empresa justifica suas ações como defesas antiabuso, citando uma vitória prévia contra a Teamfluence. No entanto, os autores dos processos enquadram a prática como vigilância secreta que ignora o consentimento significativo do usuário e as proteções de privacidade.
Agentes de ameaça invadiram a Eurail B.V. em 26 de dezembro de 2025, exfiltrando nomes, números de passaporte, datas de nascimento, IBANs, dados de saúde e detalhes de reservas de viagem pertencentes a 308.777 clientes, incluindo participantes do programa DiscoverEU. Os dados roubados surgiram posteriormente à venda na dark web, com amostras compartilhadas no Telegram. O intervalo de dois meses entre a violação e a notificação às vítimas reflete um cronograma atrasado de análise forense. A Eurail confirmou que não armazena dados de cartões de pagamento ou digitalizações de passaportes. Clientes afetados devem alterar as senhas do aplicativo Rail Planner e de contas vinculadas, monitorar anomalias nas contas e alertar seus bancos sobre potenciais riscos de roubo de identidade.
A Censys identificou 5.219 PLCs Rockwell Automation/Allen-Bradley expostos à internet, após um alerta conjunto do FBI, NSA, CISA, EPA, DOE e USCYBERCOM.
Chaves de API do Google embutidas em aplicativos Android agora autenticam no Gemini, expondo recursos de desenvolvedor na plataforma e qualquer conteúdo de usuário carregado. Atacantes podem extrair essas chaves de APKs descompilados para acessar arquivos e documentos em cache, realizar chamadas arbitrárias ao Gemini e consumir cotas de uso.
O fundador da Expmon, Haifei Li, descobriu uma vulnerabilidade zero-day não corrigida no Adobe Reader que tem sido ativamente explorada em circulação desde, pelo menos, novembro de 2025. O ataque explora APIs JavaScript privilegiadas do Acrobat, especificamente util.readFileIntoStream() para exfiltração de arquivos locais e RSS.addFeed() para beaconing de dados roubados e recuperação de scripts maliciosos. Os documentos maliciosos contêm conteúdo em russo relacionado ao setor de óleo e gás, e uma nova variante se conecta a 188.214.34.20:34123, indicando uma campanha de ameaça persistente avançada (APT) que perfila alvos antes de escolher entre payloads de execução remota de código ou de escape de sandbox.
O OpenSSL lançou correções para sete falhas, incluindo a CVE-2026-31790, um bug de vazamento de dados de severidade moderada no encapsulamento de chaves RSASVE que pode expor memória não inicializada e dados de processos anteriores.
