Pesquisadores da Miggo revelaram falhas graves no RabbitMQ (versão 3.13.0 e posteriores) que abrem caminho para a aquisição de controle administrativo total sem autenticação e o mapeamento de filas de tenants. A principal vulnerabilidade expõe o client secret OAuth através de um endpoint não autenticado, permitindo que atacantes comprometam sistemas que dependem desse secret. Além disso, outra falha possibilita a leitura de estatísticas e a declaração passiva de filas em virtual hosts compartilhados. A Miggo enfatiza a urgência na atualização para versões corrigidas, rotação de secrets OAuth e restrição de acesso à porta 15672 para conter a exposição de dados.
Pesquisadores da Binarly alertam para seis novas vulnerabilidades críticas no bootloader U-Boot, com duas permitindo Execução Remota de Código (RCE) e as demais abrindo portas para ataques de Negação de Serviço. Os problemas (BRLY-2026-037 a BRLY-2026-042) surgem da análise de imagens FIT não confiáveis antes da verificação de assinatura. Grande parte do código afetado data da v2013.07, comprometendo mais de 50 versões estáveis e firmwares de diversos fornecedores. As falhas de RCE exploram a confiança em ponteiros nulos não verificados e comprimentos negativos, enquanto as de travamento decorrem de tamanhos e offsets não validados, ponteiros nulos de formatos antigos e recursão ilimitada, sublinhando a necessidade de atualização imediata para mitigar riscos de segurança. Empresas e governos devem priorizar a avaliação e correção dessas vulnerabilidades para proteger sua infraestrutura.
Pesquisadores em segurança cibernética desvendaram uma nova e engenhosa técnica, batizada de 'Ghostcommit', que explora agentes de IA para subtrair credenciais de repositórios Git. O método consiste em embutir instruções maliciosas dentro de uma imagem, que é então carregada no repositório. Essas instruções orientam o agente de IA a copiar o arquivo `.env` e exfiltrá-lo, byte a byte, disfarçado como uma sequência numérica. Agentes de revisão de Pull Request (PR) não conseguiram identificar a ameaça nas imagens, permitindo a aprovação do código malicioso. Testes práticos confirmaram a eficácia do ataque em plataformas como Cursor e Antigravity (com modelos específicos), enquanto o Opus, integrado ao Claude Code, demonstrou capacidade de detecção contra essa forma de engenharia social.
Uma falha de segurança grave foi identificada no Debian: a recente atualização do MariaDB para a versão 10.11.18-0+deb12u1 está ativando o serviço mariadb.socket incondicionalmente, conforme relatado em um bug do sistema. Essa mudança faz com que a porta 3306 do banco de dados seja exposta em todas as interfaces de rede por padrão, em vez de restringir-se apenas ao localhost. A configuração, que antes era padrão para maior segurança, agora pode deixar sistemas vulneráveis a ataques externos sem aviso prévio. Administradores de sistemas Debian com MariaDB devem verificar suas configurações imediatamente para mitigar riscos.
Um incidente grave de segurança comprometeu a CISA, agência de cibersegurança dos EUA, após um contratado tornar público um repositório "Private CISA" no GitHub por seis meses. O vazamento expôs chaves de administrador da AWS GovCloud e senhas em texto puro de sistemas internos. Apesar de alertas automatizados do GitGuardian não terem sido atendidos, a CISA agora reforça seus canais de notificação de incidentes e aprimora a varredura contínua de código público e interno para segredos, buscando prevenir e detectar exposições futuras com maior agilidade.
Karen Serobovich Vardanyan, de nacionalidade armênia, admitiu sua culpa em um tribunal federal de Portland por conspiração e fraude informática. Ele foi responsável pela implementação do ransomware Ryuk contra organizações norte-americanas entre novembro de 2019 e abril de 2020. Entre as vítimas, uma empresa de Michigan foi forçada a pagar 200 bitcoins, equivalente a mais de US$ 1,1 milhão na época, além de outras em Oregon e Texas. Vardanyan e seus cúmplices acumularam cerca de 1.610 bitcoins, avaliados em mais de US$ 15 milhões no momento dos pagamentos. O réu enfrenta até 15 anos de prisão e concordou em restituir US$ 1,1 milhão. O grupo Ryuk foi desmantelado em 2020, com muitos de seus membros migrando para o Conti, destacando a resiliência dessas operações cibernéticas, mesmo diante de extradições.
Angelo Martino, ex-negociador de ransomware da DigitalMint, foi sentenciado a seis anos de prisão após admitir ter colaborado com operadores do grupo BlackCat. Ele compartilhava informações confidenciais, como limites de seguro das vítimas e táticas de negociação, para que os criminosos pudessem inflar os valores dos resgates. Martino recebia uma porcentagem dos pagamentos, que superaram US$ 75 milhões, em um esquema que explorava a vulnerabilidade de empresas e colocava em xeque a confiança em serviços de resposta a incidentes cibernéticos. A condenação ressalta os riscos internos e a importância da integridade em posições-chave na cibersegurança.
Um adolescente de 15 anos foi detido em Tóquio após admitir ter empregado o ChatGPT para desenvolver um código malicioso. O programa enviou comandos de cancelamento de registro falsos aos servidores da Bandai Namco Filmworks, resultando na exclusão de 46.812 contas do Bandai Channel e expondo dados pessoais de até 1,36 milhão de usuários. O incidente destaca as crescentes ameaças impulsionadas por IA na cibersegurança.
A Phia, uma extensão de compras que atraiu investidores de destaque, foi recentemente suspensa da plataforma de afiliados Impact.com. A suspensão decorre de uma investigação da Bloomberg que revelou a prática de 'cookie stuffing': a extensão injetava códigos de referência próprios durante o checkout, sobrescrevendo os de outros afiliados e, consequentemente, capturando comissões de vendas que não originou. Embora a Phia afirme ter resolvido a questão, o incidente levanta sérias preocupações sobre a integridade do marketing de afiliados e a segurança das operações para varejistas e parceiros do ecossistema digital.
A varejista dinamarquesa Miinto revelou que um invasor obteve acesso a seu sistema interno de gerenciamento de pedidos, expondo dados de clientes como nomes, contatos, endereços e tipos de métodos de pagamento. Embora números de cartão de crédito e CVVs não tenham sido comprometidos, a empresa alertou para o risco de ataques de phishing direcionados. A Miinto agiu rapidamente para remover o invasor, fortalecer seus controles de acesso e notificou as autoridades e órgãos reguladores, enquanto orienta os clientes a manterem vigilância redobrada contra tentativas de fraude.
O GigaWiper, um novo backdoor baseado em Go, tem sido identificado em ataques desde outubro de 2025, unindo funcionalidades de wiper e ransomware em uma plataforma modular sofisticada. Com capacidades que incluem a exclusão física de discos, ativação de BSOD, criptografia reversível e irreversível de arquivos, captura de tela e execução de comandos PowerShell, essa ameaça representa um risco elevado. O GigaWiper ainda conta com um robusto sistema de comando e controle, utilizando RabbitMQ e Redis para manter o acesso remoto e a persistência nos sistemas comprometidos, apagando rastros ao limpar logs.
A Datadog acaba de lançar o GuardDog 3.0, uma atualização significativa para seu scanner de código aberto focado em pacotes PyPI e npm maliciosos. A nova versão substitui o Semgrep por regras YARA, executadas via yara-python, o que promete varreduras mais rápidas e eficientes em termos de consumo de memória. O GuardDog 3.0 também introduz um motor de risco aprimorado que correlaciona capacidades e indicadores de ameaça ao longo do ciclo de ataque, atribuindo uma pontuação de 0 a 10. Testes internos da Datadog demonstraram uma precisão de 89,2% e recall de 88,3% em um conjunto de dados de 27 mil pacotes maliciosos. Além disso, todas as varreduras agora são realizadas por padrão em um sandbox Nono, que restringe o acesso ao sistema de arquivos e à rede, neutralizando tentativas de exploração contra o próprio GuardDog por pacotes maliciosos.
A Progress Software emitiu um alerta urgente aos clientes do ShareFile, instruindo-os a desativar imediatamente os Controladores Storage Zone baseados em Windows. A medida foi tomada após a detecção de uma ameaça externa credível, visando isolar os sistemas afetados da nuvem e permitir uma investigação aprofundada pelas equipes de segurança. A instrução afeta apenas controladores on-premise, com contas exclusivamente em nuvem permanecendo seguras. A empresa orienta os clientes a manterem os controladores offline, tratarem os servidores expostos como incidentados, preservarem logs e verificarem a presença de arquivos .aspx desconhecidos, um indicativo de comprometimento.
Pesquisadores alertam sobre um sofisticado ataque de phishing que explora o fluxo de código de dispositivo OAuth da Microsoft, mesmo com autenticação multifator (MFA) ativada. Cibercriminosos utilizam PDFs protegidos por senha e redirecionamentos legítimos de domínios Microsoft e Cacoo.com para enganar vítimas. Após um CAPTCHA, a página de destino maliciosa captura automaticamente um device_code legítimo, induzindo o usuário a colá-lo em uma URL de verificação genuína da Microsoft. Completada a MFA, o atacante obtém tokens de acesso que permitem acesso persistente a e-mails, exfiltração de arquivos do OneDrive e acesso ao Teams. A mesma técnica já foi observada mirando usuários brasileiros. Para mitigar, é crucial desabilitar o Device Code Flow se não utilizado, monitorar eventos de DeviceCodeSignIn, exigir conformidade de dispositivos e capacitar usuários a jamais aprovar prompts de código de dispositivo não solicitados, mesmo em páginas de login legítimas da Microsoft.
A Agência de Segurança Nacional (NSA) dos EUA anunciou a restauração do nome 'Tailored Access Operations' (TAO) para seu Office of Computer Network Operations, revertendo a reestruturação NSA21 de 2016. Sob a nova liderança do vice-diretor Tim Kosiba, essa mudança sinaliza um retorno à integração de desenvolvedores e operadores, anteriormente separados em diretorias distintas. A unidade de elite, focada em operações cibernéticas ofensivas, prepara-se para inaugurar uma nova sede em Fort Meade no próximo mês, consolidando suas atividades de cibersegurança e inteligência.
Uma versão comprometida do Injective TypeScript SDK (@injectivelabs/[email protected]) foi identificada por registrar e exfiltrar mnemonics e chaves privadas de carteiras. Os dados eram enviados via requisição POST para um endpoint da própria infraestrutura InjectiveLabs, o que permitia a reconstituição das chaves por atacantes. A mesma versão maliciosa se espalhou para 17 pacotes relacionados, exigindo uma auditoria urgente das dependências, movimentação imediata de fundos de carteiras afetadas e a rotação de todas as chaves e mnemonics comprometidos por parte dos desenvolvedores.
A Check Point Research revelou o Cavern Manticore, um ator ligado ao Ministério de Inteligência e Segurança (MOIS) do Irã e ao subgrupo Lyceum (OilRig). Este grupo tem sido implicado em intrusões contra entidades governamentais israelenses e empresas de tecnologia. Os ataques se iniciam com o abuso de atualizações de software de RMM e SysAid, seguido pelo sideload de uma DLL maliciosa (uxtheme.dll) – o Cavern Agent – por meio de um executável legítimo (WinDirStat.exe). Esta tática estabelece um sofisticado C2 modular .NET, concebido com formatos de compilação que dificultam a análise, isolamento de AppDomain por módulo e exclusão de diretórios de inicialização para evadir a detecção forense. Os módulos pós-exploração executam enumeração e força bruta de LDAP/AD, acesso a bancos de dados SQL, descriptografia de credenciais DPAPI, ataques a compartilhamentos SMB e tunelamento SOCKS5/WebSocket, utilizando tráfego HTTPS/WSS cifrado com chave XOR para domínios C2 como auth[.]hospitalinstallation[.]com. Para defensores, a auditoria de sideloading de uxtheme.dll, monitoramento de ferramentas RMM e a observação de padrões específicos de User-Agent e cabeçalhos X-User-token são cruciais para a detecção.
A equipe do Wireshark lançou a versão 4.6.7, focada na correção de 12 falhas críticas de segurança que afetavam os 'dissectors' e 'parsers' do software. Identificadas por códigos como wnpa-sec-2026-53 a -61, essas vulnerabilidades poderiam levar a ataques de negação de serviço através de travamentos e loops infinitos em protocolos como pcapng, SSH, TLS ECH, IEEE 802.11 e BLF. Embora nenhuma das falhas permita execução remota de código, a atualização é crucial, especialmente para usuários que analisam capturas de rede não confiáveis via pcapng, Wi-Fi, TLS ou SSH, garantindo a integridade e disponibilidade das análises.
Uma nova campanha maliciosa, batizada de Veil#Drop, está utilizando um framework PowerShell de múltiplos estágios para comprometer sistemas. O ataque começa com um arquivo JavaScript, disfarçado de documento, que aciona o Windows Script Host para executar scripts PowerShell. Estes scripts ignoram políticas de execução e buscam payloads adicionais em páginas do Blogspot controladas por invasores. Os códigos maliciosos são codificados em XOR e decodificados diretamente na memória, carregados como assemblies .NET via reflection, evitando o disco. A operação emprega táticas como sites comprometidos, arquivos com extensão dupla e técnicas LOLBIN, visando o roubo de dados, como credenciais de navegador, cookies e carteiras de criptomoedas, através do PureLog Stealer.
A proliferação de Grandes Modelos de Linguagem (LLMs) está transformando a gestão de vulnerabilidades, equiparando a capacidade de defensores e atacantes na identificação de falhas. Este cenário dilui o valor intrínseco dos relatórios tradicionais, antes privilegiados pela escassez de conhecimento técnico. O desafio migra da descoberta para a triagem eficaz, frente a um volume crescente de submissões geradas por IA, muitas válidas tecnicamente, mas com impacto real ainda a ser discernido. Enquanto vulnerabilidades críticas ainda merecem atenção especial, a maior parte dos achados por LLMs deve ser gerenciada como entradas padrão em sistemas de issues, demandando uma reavaliação das práticas de segurança.
