Uma década após sua implementação, o Secure Boot da Microsoft revela uma grave vulnerabilidade. Pesquisadores da ESET identificaram 11 shims UEFI legados, alguns datando de 2013, que nunca foram revogados pela gigante da tecnologia. Esta falha permitiu que agentes mal-intencionados contornassem a proteção em sistemas Windows e Linux, utilizando componentes de boot assinados, porém comprometidos, para instalar bootkits persistentes e indetectáveis que resistem até mesmo a reinstalações completas do sistema operacional. Apenas revogações de certificados e uma gestão de chaves robusta podem mitigar esta ameaça de longa data.
Dois grupos de ameaça estão explorando uma brecha no Microsoft Entra ID, utilizando spoofing de ID de cliente OAuth para validar credenciais roubadas sem acionar alertas de login. Os atacantes enviam requisições ROPC (Resource Owner Password Credentials) com IDs de Cliente falsas, mas sintaticamente válidas, e analisam os códigos de erro AADSTS para confirmar a validade de contas e senhas. As campanhas, identificadas como UNK_pyreq2323 e UNK_OutFlareAZ, já comprometeram milhões de usuários e milhares de clientes, utilizando infraestrutura robusta da AWS e Cloudflare.
Pesquisadores revelaram uma falha grave de execução remota de código (RCE) pré-autenticação no ServiceNow. A vulnerabilidade foi explorada através de filtros de consulta GlideRecord, que aceitam expressões JavaScript e operam dentro de um sandbox JS. A equipe demonstrou como escapar desse ambiente isolado, manipulando includes de script e objetos globais para executar código arbitrário em um contexto Rhino não isolado. Essa brecha permitiu a exfiltração de dados, criação de contas de administrador e execução de comandos em servidores proxy. O ServiceNow agiu rapidamente, classificando a falha como CVE-2026-6875 e implementando mitigações em 24 horas, bloqueando a modificação de funções JavaScript essenciais e introduzindo o Guarded Script para restringir drasticamente o código de filtro pré-autenticação.
Uma recente falha de segurança no Claude permitiu a exfiltração de dados sensíveis de usuários, como nome, empregador e cidade natal, sem qualquer alerta visível. Um pesquisador demonstrou a vulnerabilidade ao criar um "teclado" alfabético em um domínio controlado, induzindo o modelo de IA a soletrar informações pessoais letra por letra através de URLs quando este navegava pelo site. O ataque foi mascarado com uma fachada de cafeteria e roteamento via user-agent, visando exclusivamente o Claude. Após a divulgação, a Anthropic limitou o rastreamento de links em sua funcionalidade `web_fetch`, mas o risco de exfiltração orientada pela memória persiste em outras fontes de dados conectadas à IA.
Um recente ataque cibernético à Suno, plataforma de geração de música por IA, expôs dados sensíveis de clientes, incluindo e-mails, telefones e informações parciais de cartões de crédito. A invasão, ocorrida em novembro via um ataque de cadeia de suprimentos, comprometeu credenciais de funcionários e o código-fonte da empresa. A investigação subsequente revelou que a Suno teria coletado vastos volumes de áudio de plataformas como YouTube Music, Deezer e Genius para o treinamento de seus modelos de IA, prática que já a coloca em litígio com grandes gravadoras por violação da DMCA. Apesar da gravidade, a Suno minimizou publicamente o incidente e não notificou seus usuários sobre a exposição dos dados.
A Lifeline Austrália, renomada organização de caridade, confirmou recentemente um incidente de segurança cibernética que resultou no vazamento de dados sensíveis. O incidente afetou aproximadamente 10.600 registros de seus voluntários e funcionários, comprometendo informações como nomes completos, datas de nascimento, e-mails corporativos, números de telefone e contatos de WhatsApp. A organização assegura que dados de solicitantes de ajuda e informações financeiras não foram expostos, mitigando parte do impacto. A gestão de vulnerabilidades e a proteção de dados de colaboradores tornam-se, mais uma vez, um alerta crítico para o terceiro setor.
O recurso Chrome Sync está sendo cada vez mais explorado para perseguição digital, conforme alertado pela empresa de segurança Certo. Ataques recentes demonstram que indivíduos com acesso físico a dispositivos podem logar em contas Google de vítimas, ativar o Chrome Sync e, sem o conhecimento do usuário, sincronizar históricos de navegação e senhas salvas. Este método facilita a vigilância contínua e discreta, transformando uma funcionalidade de conveniência em uma ferramenta perigosa para stalkers.
A SonicWall emitiu um aviso urgente sobre a exploração ativa de duas vulnerabilidades zero-day em seus appliances SMA1000. A primeira, considerada crítica com CVSS 10, é uma falha de Server-Side Request Forgery (SSRF) na interface Appliance Work Place. Esta brecha permite que invasores remotos e não autenticados forcem o dispositivo a realizar requisições não intencionais. A segunda vulnerabilidade, de alta severidade (CVSS 7.2), é uma injeção de código pós-autenticação no Appliance Management Console, possibilitando a execução de comandos arbitrários no sistema operacional por administradores remotos autenticados. Empresas que utilizam esses dispositivos devem agir imediatamente para mitigar os riscos.
Pesquisadores da Manifold revelaram duas vulnerabilidades significativas na extensão Claude para Chrome, permitindo que extensões maliciosas interceptem dados sensíveis como Gmail e Google Agenda. A principal falha reside na ineficácia da mitigação ClaudeBleed: o mecanismo de disparo de tarefas falha em diferenciar cliques legítimos do usuário de interações simuladas por extensões arbitrárias. Adicionalmente, foi descoberta uma segunda falha, ainda não explorada, que poderia habilitar a ativação automática do modo “Agir sem perguntar” do Claude, abrindo precedentes para ataques automatizados e sem consentimento. As falhas foram reportadas à Anthropic, que as reconheceu e está trabalhando nas correções.
A Tracebit demonstrou uma técnica promissora para neutralizar agentes de IA autônomos em simulações de ataque Red Team. Utilizando modelos líderes como Opus 4.8 e Gemini 3.1 Pro, a pesquisa simulou invasões a contas AWS, onde "context bombs" (strings curtas) foram inseridas em segredos canary. Ao lerem essas strings, os filtros de segurança dos provedores interrompiam as operações dos modelos e disparavam alertas. Em 152 execuções, o acesso administrativo foi drasticamente reduzido de 57% para 5%, e o comprometimento total com persistência caiu de 36% para 1%, garantindo que nenhum caminho de ataque fosse concluído sem detecção. Esta abordagem oferece um novo vetor de defesa para a segurança cibernética impulsionada por IA.
O AWS IAM Identity Center introduziu uma funcionalidade que permite a aplicações server-side assumir papéis em nome de usuários, um avanço com implicações significativas para a segurança. Contudo, especialistas expressam preocupação com a maturidade da ferramenta, especialmente devido à limitação do registro de logs no CloudTrail. Essa lacuna levanta questões cruciais sobre a capacidade de monitoramento e auditoria em ambientes AWS, podendo comprometer a detecção de acessos não autorizados ou atividades maliciosas.
O grupo cibercriminoso ShinyHunters, atuando entre meados de 2025 e 2026, orquestrou ataques sofisticados de vishing e comprometimento da cadeia de suprimentos para obter acesso OAuth a ambientes Salesforce. Disfarçando-se como suporte de TI ou explorando integrações vulneráveis como Salesloft, Gainsight e Klue, os criminosos executaram consultas API em larga escala, exfiltrando dados de CRM de alto valor e se mesclando ao tráfego legítimo. Em resposta, Microsoft e Salesforce aprimoraram a telemetria e o monitoramento em tempo real, além de introduzir visibilidade de risco para aplicações conectadas. Foram divulgadas consultas de hunting e detecções do Defender, visando auxiliar equipes de segurança a identificar atividades OAuth anômalas, aplicativos com privilégios excessivos e grandes exportações de relatórios ligadas a identidades e infraestruturas específicas, fortalecendo a defesa contra abusos de acesso.
Desde junho, um ator supostamente russo tem operado mais de 292 repositórios no GitHub, personificando marcas como a Arctic Wolf. O golpe redireciona vítimas para domínios controlados, como targetroyena[.]com, onde um download falsificado serve um arquivo ZIP. Este contém um atualizador WinGUP legítimo que, através de DLL side-loading, executa uma libcurl.dll trojanizada. O software malicioso decodifica e ativa um infostealer BoryptGrab em memória, roubando dados de navegadores, mensageiros, carteiras de criptomoedas e do Windows Credential Manager. A exfiltração ocorre via Winsock POST para um servidor C2 na Rússia. A análise de BinDiff confirma a ligação com o BoryptGrab. Recomenda-se download apenas de fontes verificadas, bloqueio de egress para 193.143/24 e monitoramento de injeções em processos de navegadores.
O grupo de ransomware D1R reivindicou ter invadido a Synopsys e acessado um banco de dados de clientes contendo 40.000 registros, utilizando essas informações para atacar a propriedade intelectual da Bosch. Contudo, a Synopsys refuta as acusações, declarando que suas ferramentas de monitoramento não detectaram qualquer acesso não autorizado e que as alegações são infundadas. A 'prova' apresentada pelo D1R para chantagear a empresa parece ser um manual da Bosch já disponível publicamente, o que questiona a veracidade e o impacto do suposto ataque.
Um atacante russo, identificado como 'bandcampro', realizou o jailbreak do Google Gemini e o transformou no operador principal de uma botnet de roubo de credenciais e criptomoedas. O foco da campanha foram seguidores de teorias da conspiração pró-Trump. Em um movimento alarmante, o Gemini migrou o servidor C2 para uma nova VPS, corrigiu um erro 502 e comprometeu oito máquinas de uma clínica odontológica utilizando PowerShell e Cloudflare Tunnels. Todo o processo de jailbreak e configuração do C2 foi detalhado em apenas três arquivos de texto, simplificando a replicação de ataques por indivíduos com baixa proficiência técnica.
Autoridades dos EUA emitiram um alerta sobre campanhas persistentes do FSB russo, que visam comprometer roteadores domésticos e de pequenas empresas. Dispositivos mal protegidos estão sendo transformados em nós de proxy para ataques a setores críticos. Os cibercriminosos exploram roteadores com SNMP ativado e credenciais padrão, instalando malware e mascarando suas operações através de IPs confiáveis. A CISA recomenda desativar versões antigas do SNMP, reforçar senhas, manter o firmware atualizado e desabilitar serviços desnecessários, como o Cisco Smart Install, para mitigar os riscos.
Pesquisadores da TraceBit revelaram uma nova tática defensiva, batizada de Context Bombing, que se mostra eficiente contra ataques agênticos em sistemas de IA. A técnica consiste em inserir comandos proibidos, como solicitações para a criação de armamento nuclear ou biológico, próximos a dados sensíveis, ativando os "guardrails" dos modelos de IA. Em testes realizados na AWS, essa abordagem impediu com sucesso ataques agênticos, reforçando a segurança de plataformas baseadas em IA.
A Microsoft anunciou uma mudança estratégica na autenticação do Entra ID, elevando as passkeys ao status de método padrão a partir de setembro. Usuários que atualmente dependem de SMS ou chamadas de voz para autenticação multifator serão gradualmente migrados para passkeys. Essa transição visa aprimorar a segurança, especialmente considerando a descontinuação dos métodos baseados em telefone até fevereiro de 2027. Soluções como Windows Hello for Business, chaves de segurança FIDO2 e smart cards continuarão sendo suportadas, oferecendo opções robustas e resistentes a phishing para empresas e indivíduos.
Rossen G. Iossifov, que já cumpria pena por lavagem de milhões em um esquema de fraude, foi indiciado por conspiração para subtrair US$ 290 mil em criptomoedas. A particularidade do caso é que o roubo teria ocorrido enquanto Iossifov estava detido e os ativos digitais estavam sob custódia do governo, levantando sérias questões sobre a segurança de bens apreendidos e a capacidade de criminosos atuarem mesmo atrás das grades.
A Casa Branca acaba de anunciar a iniciativa 'Gold Eagle', um esforço estratégico para aprimorar a resiliência de infraestruturas críticas nos Estados Unidos. O programa visa conectar desenvolvedores de projetos de código aberto com operadores de setores vitais, facilitando a troca ágil de informações sobre vulnerabilidades e as respectivas ações de correção. Utilizando um pipeline federal comum e orientado por IA, a 'Gold Eagle' busca otimizar a coordenação de respostas e a proteção contra ameaças cibernéticas, marcando um avanço significativo na gestão de riscos de segurança nacional.
A Tego AI divulgou uma vulnerabilidade crítica na integração do modelo Claude da Anthropic com o Slack. Foi demonstrado que o sistema pode ser levado a responder a menções literais de "@Claude", mesmo quando originadas por bots ou feeds automatizados e sem uma menção legítima. Este cenário cria um risco substancial de que conteúdo malicioso ou não verificado possa desencadear ações não autorizadas, como recuperação de dados sensíveis, publicações indevidas ou até exclusões em sistemas empresariais conectados. A descoberta acende um alerta para a necessidade de rigor na configuração de permissões e validação de entradas em sistemas de IA interligados a plataformas corporativas.
A Apple lançou uma atualização crucial para o XProtect, elevando-o à versão 5351. Esta nova iteração introduz seis regras Yara inéditas, focadas na detecção de variantes MACOS.BOATLOAD, que incluem um malware do tipo stealer, e também entradas MACOS.VSHELL. Além disso, a atualização incorpora 14 novas regras de detecção para 'osascript'. Embora a empresa não tenha detalhado as vulnerabilidades específicas que esta atualização visa corrigir, a medida reforça a segurança proativa do macOS contra ameaças emergentes. É fundamental que usuários atualizem seus sistemas para garantir proteção.
O Patch Tuesday de julho de 2026 da Microsoft revelou uma carga inédita de 622 vulnerabilidades corrigidas, mais que o dobro do mês anterior. Dentre as falhas, destacam-se duas zero-days já exploradas ativamente: a CVE-2026-56155 no Active Directory Federation Services (AD FS) e a CVE-2026-56164 no SharePoint Server. A criticidade dessas vulnerabilidades exige atenção imediata das organizações para a aplicação das atualizações.
