Uma falha de memória no mod_http2 do Apache HTTP Server (CVE-2026-119618, CVSS 9.8) permite que um atacante remoto não autenticado assuma o controle do processo do servidor. O problema afeta as versões 2.4.55 a 2.4.70 sempre que o HTTP/2 estiver habilitado. Há divergência sobre o estágio da ameaça: a Red Hat afirma que pesquisas públicas mostram um exploit confiável, enquanto a Wiz informa que não há exploit disponível e que nenhum ataque foi observado. Como correção, os administradores devem atualizar para a versão 2.4.71 ou para o pacote corrigido da sua distribuição, como o mod_http2-2.0.26-7.el9_9.1 no RHEL 9. A alternativa é remover h2 e h2c de todas as diretivas Protocols, que é a única opção para as builds standalone arquivadas do mod_h2.
O FORGE Lab, da Microsoft, passou duas semanas usando modelos de IA, principalmente Sonnet 4.6 e GPT-5.5, para varrer subsistemas do kernel Linux. O trabalho gerou 26.502 achados brutos, que foram reduzidos a 621 casos com provas de conceito funcionais e, depois, a 59 relatos enviados ao upstream, 33 CVEs e oito exploits de root funcionais. Entre eles está um bug de uma linha no rhashtable, que usuários sem privilégios poderiam explorar em Linux stock e Android. Os bugs estavam no kernel havia, em média, 8,1 anos, mas o gargalo ficou do lado da correção: foram necessários quatro pessoas-mês para escrever os relatos e uma mediana de 41 dias por correção. Cinco meses depois, apenas 38 patches tinham sido incorporados. Para a Microsoft, o caso mostra que a descoberta de vulnerabilidades agora supera em muito a capacidade de correção.
Atacantes usaram credenciais roubadas do GitHub para abrir 61.764 pull requests de sondagem em 61.764 repositórios, a partir de 4.837 contas comprometidas. Pelo menos 1.835 repositórios executaram o payload e tiveram credenciais vazadas. O malware rouba segredos do GitHub Actions, funções de cloud, tokens OIDC, arquivos locais de credenciais e tokens de provedores de IA. Ele também consegue forjar status checks obrigatórios, reescrever políticas de confiança da AWS e adicionar identidades federadas no Azure que sobrevivem à rotação de tokens. Os dados são exfiltrados por HTTP POST para dois servidores.
O Baker Tilly Advisory Group está notificando clientes sobre um vazamento de dados ocorrido por meio de um provedor terceirizado. Entre as informações roubadas estão nomes completos, números de Social Security (SSNs) e endereços, além de outros dados. A empresa de contabilidade afirmou que não detectou evidências de que seus sistemas internos tenham sido comprometidos.
Atacantes que usam o framework de pentest com IA ARTEX transformaram páginas públicas de redefinição de senha e especificações OpenAPI expostas em acesso à cloud, às vezes em menos de um dia e sem explorar nenhuma vulnerabilidade. Os agentes validaram mais de 200 client secrets em cerca de três minutos e atacavam em rajadas de 1 a 14 requisições, seguidas de pausas de 25 a 31 segundos enquanto aguardavam o modelo. A Unit 42 contabilizou 609 hosts ARTEX expostos à internet e 1.323 executando CyberStrikeAI, e observou que o tooling sofre forks com tanta frequência que a caça baseada em comportamento se mostra mais eficaz do que IOCs. Como mitigação, os defensores devem remover especificações OpenAPI e source maps de aplicações públicas, aplicar rate limiting em fluxos de identidade self-service, trocar chaves de cloud de longa duração por roles e buscar por usernames canary como test@example[.]com e por testes de bucket com escrita seguida de exclusão.
Depois de explorar aplicações web em PHP, cPanel e Apache, os atacantes passaram a enviar um script via curl que instala o cliente open source GSocket em /dev/shm, o disfarça com nomes de processo de kernel threads e garante persistência por meio de cron, systemd e shell profiles. O cliente se conecta de forma outbound à rede pública de relays do GSocket, que o pareia com o operador usando apenas um shared secret. Com isso, não há IP ou domínio do atacante para bloquear. A Microsoft observou um aumento de 356% nas detecções de GSocket entre março e agosto, envolvendo vários atores sem relação entre si. Alguns deles também tentaram usar o exploit de kernel Dirty Frag (CVE-2026-43284) para obter acesso root. Segundo o texto, corrigir a aplicação web é apenas metade da solução: os defensores precisam remover o cliente GSocket e todas as camadas de persistência, aplicar regras de egress deny-by-default que bloqueiem o relay e montar /dev/shm e os diretórios temporários como noexec.
Atacantes usaram comandos Run em painéis ScreenConnect hospedados na nuvem para instalar clientes falsos e o SCKit em pelo menos 288 endpoints de 48 organizações. O SCKit estabelece persistência, substitui clientes ScreenConnect legítimos e tenta roubar session cookies de técnicos para acessar os painéis. A atividade parece estar ligada à extensão RMM+, nas versões 1.0.31 e 1.0.32, que aceitam uma access key em branco. Como resposta, a ConnectWise desativou cinco extensões relacionadas em mais de 400 ambientes de parceiros.
A Europol e parceiros internacionais informaram a derrubada de 235 servidores e 257 domínios associados a ferramentas de cybercrime-as-a-service. O Gootloader infectava vítimas por meio de documentos jurídicos falsos hospedados em sites WordPress comprometidos. O CastleRAT dava a agentes de ameaça acesso aos dispositivos das vítimas, enquanto o StealC era usado para roubar credenciais. Segundo o relato, a Europol também recuperou 6,4 milhões de conjuntos de dados de vítimas a partir da infraestrutura apreendida.
Uma vulnerabilidade no service key server do Red Hat Quay (CVE-2026-123710, CVSS 9.8) permite que qualquer usuário capaz de obter um token de registry, anônimo ou não, crie uma chave de assinatura sem expiração. Essa chave concede acesso de leitura e escrita a todos os repositórios. Trocar senhas ou robot tokens não revoga a chave, e ainda não há release com correção disponível. Enquanto isso, os administradores devem restringir o acesso ao key service e auditá-lo em busca de chaves indevidas.
A Notion comunicou que atacantes acessaram dados mantidos por sua fornecedora, a Fireworks AI. A informação consta em aviso de segurança publicado pela própria Notion.
