CEVIU News - CEVIU Segurança da Informação - 12 de agosto de 2026

Pesquisadores da Rapid7 revelaram uma perigosa cadeia de vulnerabilidades no SharePoint Server Subscription Edition 2019 e 2016, que culmina em execução remota de código (RCE) não autenticada. A exploração combina a falha CVE-2026-55040, um bug de validação de JWT, com a CVE-2026-63520, uma falha de instanciação de tipo .NET nos Business Connectivity Services. O ataque requer apenas o SID ou UPN do alvo, e impressionantemente, um agente de IA desempenhou um papel crucial na descoberta, após 96 sessões e 80.000 chamadas de ferramenta. A mesma IA demonstrou a capacidade de reproduzir credenciais administrativas e ativar flags de depuração sem autorização. É imperativo que as organizações instalem as atualizações KB de julho imediatamente, pois os patches de agosto ainda não foram disponibilizados publicamente.

O Zoom acaba de lançar atualizações cruciais para mitigar a vulnerabilidade conhecida como 'Zoomsday' (CVE-2026-53413). Esta falha zero-click de Execução Remota de Código (RCE) no protocolo de anotação da plataforma permitia que qualquer participante de uma reunião acionasse silenciosamente um estouro de buffer de stack, possibilitando a execução de código arbitrário em dispositivos que não estivessem com o patch de segurança aplicado. A correção é vital para a segurança de milhões de usuários corporativos e pessoais.

Pesquisadores da Kaspersky revelaram uma evolução preocupante do framework de espionagem Project CAV3RN, que continua a mirar organizações israelenses. A nova versão emprega uma técnica sofisticada de evasão: o malware roteia seu tráfego de comando e controle (C2) dinamicamente, inspecionando registros DNS A para decidir entre uma conexão HTTPS direta ou um relay via Google Apps Script. Essa abordagem permite que a atividade maliciosa se confunda com o tráfego legítimo, dificultando a detecção. Após o estabelecimento do C2, a execução é delegada a um broker intercomponente (rnp.dll) que orquestra a operação de módulos maliciosos. Para mitigar o risco, especialistas em cibersegurança devem monitorar requisições POST anômalas para script.google[.]com e buscar infraestruturas ligadas a domínios como studiotikva[.]com, que podem indicar a presença desta ameaça.

A equipe do OpenSSH lançou a versão 10.5, que inclui correções urgentes para múltiplas vulnerabilidades. Dentre as mais críticas, destaca-se uma falha introduzida na versão 10.4 no bloqueio do ssh-agent. Este erro permitia que conexões remotas manipulassem chaves locais, viabilizando a adição de tokens PKCS#11 e o bypass de chaves com restrição de destino, ao desativar a verificação que diferenciava requisições locais das encaminhadas. Adicionalmente, foram corrigidos um problema de use-after-free no cliente ssh e uma falha na palavra-chave "restrict" em authorized_keys, que impedia o bloqueio correto do encaminhamento de túneis. Empresas e usuários são alertados a atualizar suas instalações para a versão mais recente para garantir a integridade e segurança de seus sistemas.

Uma vulnerabilidade zero-day de injeção SQL no Metabase Cloud (CVSS 10), ainda sem CVE, permitiu que atacantes explorassem o sistema para obter acesso administrativo, roubar credenciais de banco de dados e exportar informações sensíveis. Embora o Metabase tenha corrigido automaticamente as instâncias em nuvem, usuários com instalações auto-hospedadas que expõem o endpoint /api/session/reset_password na porta 3000 permanecem em risco. Empresas como n8n e Kilo Code já confirmaram vazamento de dados de clientes e tokens do Slack. O Metabase recomenda atualização imediata, bloqueio do endpoint, rotação de credenciais e revogação de sessões para usuários auto-hospedados, destacando a urgência da gestão de vulnerabilidades.

O Aeternum, um carregador de malware de alta complexidade, tem chamado a atenção de especialistas em segurança. Ele se destaca por utilizar contratos inteligentes da blockchain Polygon via JSON-RPC para buscar instruções criptografadas de comando e controle (C2). Após a decriptografia, o malware prossegue com o download de payloads secundários do GitHub, incluindo o RAT XWorm e mineradores XMRig. Uma variante Python correlata foi identificada, com foco em mais de 60 carteiras de criptomoedas e extensões de navegador, utilizando APIs de bot do Telegram codificadas para exfiltração de dados. A defesa contra essa ameaça exige monitoramento rigoroso de tráfego anômalo de API do Telegram e chamadas JSON-RPC de saída originadas de processos não relacionados a navegadores.

Pesquisadores revelaram uma séria falha de segurança em Amazon S3 Vectors, onde atacantes com permissões s3vectors:PutVectorBucketPolicy podem conceder acesso a contas AWS externas para manipular textos, falsificar URLs de citação e alterar coordenadas de embedding. Essa vulnerabilidade permite que dados envenenados dominem a recuperação top-K de Large Language Models (LLMs). Em um teste alarmante, um único vetor plantado induziu um assistente clínico RAG a recomendar dosagens médicas perigosas e permitiu a execução de comandos em agentes habilitados para ferramentas. Para agravar a situação, os logs de eventos CloudTrail para essas ações estão desativados por padrão e, mesmo quando ativados, perdem metadados cruciais. A OffensAI recomenda que as organizações isolem a ingestão de dados por trás de roles IAM rigorosos, utilizem HMACs para chaves de chunk e exijam confirmação manual antes que agentes autônomos executem qualquer ação, visando proteger a integridade dos dados e a segurança das operações.

A extensão 'AI Sidebar with DeepSeek, ChatGPT, Claude and more', previamente removida pelo Google em janeiro por roubar dados de chats de usuários do ChatGPT/DeepSeek, está de volta à Chrome Web Store. A OX Security inicialmente revelou a coleta indevida de informações, que eram enviadas para domínios externos, afetando mais de 300 mil instalações. Agora, a Netskope identificou que a versão 1.7.3.0 da extensão incorporou código malicioso para abrir links de afiliados e sequestrar URLs de desinstalação, visando gerar comissões indevidas.

Um novo malware, batizado de Pass-ta-key, demonstrou a capacidade de subtrair passkeys de usuários do Google Password Manager em PCs Windows comprometidos. A ameaça explora uma vulnerabilidade ao simular um iPhone, aproveitando o recurso de sincronização de dispositivos do Google para exfiltrar as passkeys salvas. Este incidente ressalta a diferença na arquitetura de segurança entre sistemas operacionais, uma vez que o Windows permite um acesso mais facilitado a dados de outros aplicativos por softwares maliciosos, em comparação com os ecossistemas mais restritivos da Apple e Android. A presença de malware em um PC com sessão iniciada pode, inclusive, comprometer senhas e sessões ativas.

A equipe de segurança do Chrome anunciou uma nova estratégia de defesa em profundidade que emprega Firebase Cloud Messaging e Safe Browsing, resultando no bloqueio de mais de 7 bilhões de notificações Android abusivas diariamente no primeiro trimestre. Essa metodologia multicamadas visa combater redes de spam coordenadas, revogando permissões de sites suspeitos e analisando atividades maliciosas de service workers. Adicionalmente, domínios disruptivos são limitados a mil mensagens por minuto no nível do servidor FCM, com respostas HTTP 429 para requisições excessivas, reforçando a proteção dos usuários.

Um jovem hacker português de 23 anos, responsável pela criação do WormGPT, está atualmente sob julgamento. O software malicioso, que replica funcionalidades de IAs generativas como o ChatGPT para fins ilícitos, levanta sérias preocupações sobre o uso de tecnologias de IA para atividades cibercriminosas. Este caso destaca a crescente necessidade de regulamentação e fiscalização no desenvolvimento e distribuição de ferramentas que podem ser utilizadas para ataques digitais, impactando a segurança de dados e sistemas corporativos.

O FBI confirmou uma investigação de alta prioridade envolvendo um agente norte-coreano sancionado, que conseguiu se infiltrar em uma agência federal dos EUA. O indivíduo obteve uma posição remota de TI, utilizando métodos fraudulentos para contornar as verificações de segurança. Este incidente levanta sérias preocupações sobre a integridade das redes governamentais e a eficácia dos protocolos de segurança de identidade e acesso em ambientes remotos, sublinhando a sofisticação das táticas de espionagem cibernética patrocinadas por estados.