A SonicWall está alertando clientes sobre uma nova vulnerabilidade em dispositivos SonicOS SSL-VPN. Um atacante que tenha credenciais de um método de autenticação alternativo pode explorá-la para contornar os controles de autenticação SAML, o que pode incluir a MFA. A CISA adicionou a falha à lista KEV, e o PSIRT da SonicWall a classificou como potencialmente explorada. A empresa também corrigiu outras seis vulnerabilidades. Entre elas estão duas falhas na interface de gerenciamento, buffer overflows pré-autenticação que podem levar a DoS e vulnerabilidades de hashing fraco de senhas.
A QNAP orienta usuários que executam o Plex em dispositivos NAS a atualizar seus servidores Plex para corrigir quatro vulnerabilidades, conhecidas como Plex2Shell, que estão sendo exploradas ativamente. Segundo a QNAP, quem estiver com um servidor Plex vulnerável exposto à Internet pública deve tratar o NAS e todo o conteúdo pessoal armazenado como comprometidos. Usuários que suspeitam de comprometimento podem enviar seus logs ao portal de suporte técnico da empresa para ajuda na verificação de uma possível invasão.
Entre 14 e 26 de outubro, um atacante usou credenciais IAM da conta AWS da Qubole (805246085872) para assumir as roles cross-account que os clientes haviam configurado para confiar no fornecedor. Em seguida, coletou secrets do Secrets Manager, do SSM e do Lambda, validou essas credenciais no AWS, no Entra ID e no Okta com o TruffleHog e baixou buckets S3 inteiros. A maioria das roles assumidas não tinha atividade legítima da Qubole naquele mês, e todas as requisições incluíam um External ID válido. Os clientes devem buscar no CloudTrail chamadas AssumeRole originadas dessa conta, a partir de IPs fora da AWS ou com nomes de sessão quiam-*. Também é recomendado excluir roles de fornecedores que não estejam em uso e fixar as trust policies no principal do fornecedor com uma condição aws:SourceIp, medida que, sozinha, teria bloqueado todas as tentativas.
Distinguir entre comportamento humano, humanos assistidos por LLMs e agentes autônomos é fundamental para identificar o tipo de adversário por trás de um ataque. Os LLMs se adaptam rapidamente a novas informações e executam operações com agilidade, mas podem errar ao gerar cabeçalhos sintéticos ou deixar antipadrões de código, como trocar de framework ou usar tratamento de entrada e saída mais amigável a máquinas do que a humanos. Os agentes também podem adotar um padrão semelhante ao map-reduce: distribuem tarefas de coleta de informações em paralelo e, depois, sintetizam todos os resultados de uma só vez.
PHP2Shell é uma cadeia de use-after-free que pode levar à execução remota de código, segundo análise publicada em djad04.github.io. Tudo começa com uma requisição multipart especialmente construída, que provoca uma condição de falta de memória (out-of-memory) durante o processamento de session.upload_progress. O caminho de bailout do PHP pula a limpeza e deixa ponteiros globais obsoletos em um processo worker de longa duração. Uma requisição posterior reaproveita a memória liberada e forja o campo de tamanho de uma zend_string, fazendo o PHP devolver 256 bytes de dados vizinhos do heap em um header Set-Cookie. Com esse vazamento, o atacante extrai ponteiros de heap e de código, derrota o ASLR, forja uma HashTable, sequestra o pDestructor e executa um comando. O artigo demonstra um exploit voltado ao PHP 8.4.26 Alpine CLI, que depende de heap grooming preciso.
A JFrog seguiu um único pacote npm malicioso até a AccuraSoftHire (accurasofthire[.]com), uma empresa falsa com vagas anunciadas no Indeed e no LinkedIn, perfis de recrutadores com identidade verificada e um teste técnico em React para fazer em casa. A configuração do Tailwind do teste carrega um plugin de formulários que imita o legítimo e traz um loader executado quando o CSS é compilado, e não no npm install, o que faz com que scanners de install scripts não o detectem. Sempre que o npm removia o plugin, o operador o republicava com outro nome. Além disso, a etapa de "verificação por vídeo" do site de carreiras era programada para falhar, a fim de levar a vítima a executar um comando curl de uma linha que baixa um falso "driver de câmera".
O Google DeepMind e pesquisadores da UC San Diego e do Inria encontraram duas formas de reduzir o custo de atacar o RSA-1024. Agentes de IA diminuíram o tempo de CPU de um ataque de falsificação de assinaturas de 1.380 para 391 core-years. Os pesquisadores também propuseram um método de batch factoring que poderia tornar cada chave adicional de 1024 bits cerca de 30 vezes mais barata de fatorar, mas ele ainda não foi implementado. O ataque às assinaturas exige cerca de 4 bilhões de consultas de assinatura e não recupera chaves privadas. Sistemas modernos que usam chaves RSA de 2048 bits ou maiores não são afetados.
Pesquisadores acessaram os consoles de administração do ForgeRock/Ping Identity de duas montadoras por meio de um console Apache Felix exposto, usando a senha padrão admin:admin. Para chegar ao servidor, contornaram a filtragem de borda com caracteres codificados no caminho da URL. Com o acesso, alteraram credenciais de clientes, obtiveram tokens de aplicativos e conseguiram destravar e ligar remotamente veículos de teste.
Linus Torvalds afirma que as correções para o eBPF do Linux estão chegando mais rápido do que os novos relatos de bugs, um possível sinal de que a onda de relatórios de falhas está desacelerando. Segundo ele, porém, a maioria das áreas do kernel do Linux ainda não chegou a esse ponto de pico.
Controladores Copeland XWEB PRO expostos à internet, usados em racks de freezers de supermercados, estão sendo sequestrados para disparar spam coordenado e funcionar como saídas de proxy. O vetor mais provável é o bypass de autenticação CVE-2026-25085.
Desde o fim da semana passada, o Outlook.com vem rejeitando e-mails de forma intermitente quando o SPF do domínio remetente falha ou o registro DMARC está ausente. Pelo que tudo indica, a Microsoft estendeu, sem aviso prévio, as regras de autenticação que já valiam para remetentes em massa.
