Vulnerabilidade

A Marimo, desenvolvedora de software, anunciou a correção de uma vulnerabilidade de alta severidade em sua aplicação de notebook, identificada como CVE-2026-75149. Essa falha permitia que um atacante executasse comandos do Model Context Protocol (MCP) ao abrir um notebook malicioso em modo de edição. O problema, que afeta versões anteriores à 0.23.15, foi classificado com um CVSS v4 de 8.7 e um CVSS v3.1 de 8.8, indicando a necessidade de interação do usuário, mas sem exigir autenticação do atacante. A correção foi disponibilizada na versão 0.23.15, lançada em 23 de julho de 2026, e os usuários são aconselhados a atualizar para evitar riscos. A vulnerabilidade foi descoberta por Gregory Tan, que também contribuiu para a implementação de um patch de segurança que trata metadados de notebooks como controlados por atacantes, utilizando uma lista de permissões para configurações fornecidas pelo notebook. Além disso, uma falha anterior, CVE-2026-67618, também relacionada a comandos controlados por atacantes, foi divulgada em agosto de 2026, reforçando a necessidade de atenção contínua à segurança do software. A Marimo recomenda que os usuários mantenham suas versões atualizadas para garantir a proteção contra essas e outras vulnerabilidades.

A Oasis Security revelou uma vulnerabilidade no NVIDIA NemoClaw que pode permitir que uma página da web controlada por um atacante assuma o controle não autenticado de uma instância local do Ollama, que serve um agente de IA. Essa falha pode ser explorada para inserir instruções ocultas dentro do modelo. A vulnerabilidade foi reportada à equipe de resposta a incidentes de segurança da NVIDIA antes da divulgação, mas ainda não possui um identificador CVE e não há relatos de exploração até a data de 25 de agosto de 2026.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma vulnerabilidade de alta severidade, identificada como CVE-2026-21962, ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Essa falha, com uma pontuação CVSS de 10.0, permite que atacantes não autenticados, com acesso à rede via HTTP, comprometam o Oracle HTTP Server e o Proxy Plug-in do Oracle WebLogic Server. A exploração bem-sucedida pode resultar em acesso não autorizado a instâncias e modificação de dados críticos. A CISA alerta que a vulnerabilidade está sendo ativamente explorada, com relatos de tentativas de exploração por um único endereço IP, que visava múltiplas vulnerabilidades conhecidas. Embora a Oracle tenha lançado patches em janeiro de 2026, a exploração continua a ser uma preocupação significativa. As agências do governo dos EUA foram aconselhadas a aplicar as correções necessárias até 27 de agosto de 2026 para proteger suas redes. Essa situação destaca a importância de uma resposta rápida e eficaz a vulnerabilidades críticas em ambientes corporativos.

Recentemente, foram identificadas duas vulnerabilidades graves no plugin miniOrange SAML 2.0 Single Sign On para WordPress, que permitem que atacantes não autenticados acessem contas de usuários, incluindo administradores. As falhas, divulgadas pela Patchstack, são: CVE-2026-61979, com um CVSS de 8.1, que resulta em uma escalada de privilégios devido a confusão no algoritmo de assinatura; e CVE-2026-15981, com um CVSS de 9.8, que permite a bypass de autenticação ao aceitar assinaturas malformadas como válidas. A vulnerabilidade CVE-2026-15981 ocorre porque a função mo_saml_validate_signature() realiza uma verificação booleana frouxa, permitindo que um retorno de erro seja interpretado como uma verificação bem-sucedida. Isso possibilita que atacantes criem uma resposta SAML manipulada e façam login como qualquer usuário do WordPress. A empresa de segurança DigitalOcean relatou a atividade suspeita, que foi observada em tentativas de sessão de administrador fora de sua rede confiável. Os proprietários de sites WordPress são aconselhados a atualizar para as versões corrigidas (17.0.5 e 17.0.6) para evitar exploração, especialmente com a disponibilidade de um código de prova de conceito que pode ser utilizado para obter privilégios administrativos.

Hackers estão explorando duas vulnerabilidades críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On para WordPress, que permitem forjar respostas SAML e logar como administradores. O plugin transforma sites WordPress em provedores de serviços SAML, permitindo que usuários façam login através de plataformas de identidade corporativa como Microsoft Entra ID e Okta. As vulnerabilidades, identificadas como CVE-2026-61979 e CVE-2026-15981, podem ser combinadas para contornar a autenticação. A primeira permite que um atacante escolha o algoritmo de assinatura, enquanto a segunda faz com que erros de verificação do OpenSSL sejam tratados como válidos. Embora as falhas tenham sido corrigidas em julho, a divulgação limitada deixou versões pagas sem alerta, aumentando o risco de exploração. A empresa Patchstack reportou tentativas de exploração em várias regiões, e um exploit de prova de conceito está disponível publicamente. A falta de avisos de atualização para versões pagas pode permitir que atacantes obtenham credenciais de administrador, com apenas 37% das ações sendo bloqueadas após o acesso inicial. É crucial que os proprietários de sites atualizem manualmente para versões corrigidas.

Uma vulnerabilidade não corrigida nos roteadores residenciais Calix GS7 XGS (GS5239XG), utilizados por diversos provedores de internet nos EUA, permite que atacantes remotos e não autenticados criem regras de redirecionamento de portas, expondo dispositivos da rede local à internet pública. A falha, identificada como CVE-2026-75501, resulta da falta de autenticação em dispositivos que operam com o firmware EXOS/6.6.47. O pesquisador de segurança Brian Khan Quintana descobriu a vulnerabilidade e, após tentativas frustradas de notificar o fornecedor, reportou o problema ao Carnegie Mellon CERT Coordination Center, que coordenou a divulgação pública. O modelo afetado, GS5239XG, é um dispositivo de gateway premium que combina capacidades de Wi-Fi 7 com um terminal de fibra integrada. A vulnerabilidade permite que atacantes enviem requisições SOAP não autenticadas para adicionar, deletar ou enumerar mapeamentos de portas, comprometendo a segurança de câmeras internas, dispositivos de armazenamento em rede (NAS) e outros aparelhos IoT. Como não há correção disponível, recomenda-se que os usuários desativem o UPnP através da interface administrativa do roteador. Caso a configuração esteja bloqueada, é aconselhável contatar o provedor de internet para solicitar a desativação.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu uma ordem para que agências governamentais do país corrijam uma vulnerabilidade ativamente explorada no Zimbra Collaboration Suite (ZCS) em um prazo de três dias. A falha de segurança, identificada como CVE-2026-73570, foi corrigida na versão 10.1.20, lançada em 20 de julho. A exploração bem-sucedida dessa vulnerabilidade permite que atacantes não autenticados executem código remotamente, aproveitando uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão habilitadas no sistema alvo. A CISA confirmou o alerta do CERT Polska, que havia identificado a vulnerabilidade como alvo de ataques na semana anterior. O Shadowserver, um grupo de monitoramento de segurança, reportou mais de 12.000 servidores Zimbra expostos na internet e 270 instâncias comprometidas. A CISA recomendou que as equipes de segurança verifiquem logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra. O ZCS é amplamente utilizado por organizações e agências governamentais em todo o mundo, tornando a correção dessa vulnerabilidade uma prioridade crítica para evitar possíveis roubos de dados sensíveis.

A Microsoft confirmou que as atualizações do .NET Framework lançadas em agosto de 2026 estão causando falhas na impressão e na exportação de PDFs em algumas aplicações. O problema afeta especificamente aplicativos que utilizam o Windows Presentation Foundation (WPF), um subsistema gráfico de código aberto para a construção de aplicações desktop no Windows. Após a instalação da atualização cumulativa do .NET Framework, alguns aplicativos WPF podem falhar com uma exceção System.IO.FileFormatException ao tentar imprimir ou gerar conteúdo PDF/XPS usando determinadas fontes, como Calibri. As plataformas impactadas incluem versões do Windows 10, Windows 11 e Windows Server, de 2012 a 2025. A Microsoft está investigando a questão e, enquanto não disponibiliza uma solução permanente, forneceu uma correção temporária que envolve a habilitação de um AppContext switch no arquivo de configuração da aplicação. No entanto, essa solução temporária desabilita proteções introduzidas pela atualização, aumentando a exposição a possíveis ataques. A empresa recomenda que essa medida seja utilizada apenas como um paliativo. Este incidente é semelhante a um problema anterior em 2021, que causou falhas em aplicativos WPF e no Visual Studio após atualizações cumulativas do Windows 10.

A Red Hat e o projeto Keycloak divulgaram patches para corrigir uma falha de segurança crítica no servidor de gerenciamento de identidade e acesso de código aberto. A vulnerabilidade, identificada como CVE-2026-18963, recebeu uma pontuação de 9.1 no sistema CVSS e é classificada como um mecanismo fraco de recuperação de senha. Essa falha permite que um atacante remoto não autenticado force a redefinição de senha de qualquer conta de usuário, incluindo contas administrativas, sem interação do usuário. A Red Hat recomenda que os usuários atualizem para a versão 26.7.2 do Keycloak, lançada em 19 de agosto de 2026, ou apliquem as atualizações correspondentes para as versões 26.4.15 e 26.6.6 do Red Hat build. Embora não haja evidências de exploração ativa da falha até o momento, a empresa alertou que a causa raiz está na validação inadequada do estado dentro do fluxo de autenticação de redefinição de credenciais. Para aqueles que não podem atualizar imediatamente, a Red Hat sugere desativar a funcionalidade de ‘Esqueci minha senha’ em todos os reinos. A falha é uma preocupação significativa para a segurança, especialmente em ambientes onde o Keycloak é amplamente utilizado.

O uso de named pipes para comunicação entre aplicações no Windows é comum, mas apresenta riscos significativos que muitas vezes são subestimados. Embora esses pipes sejam rápidos e considerados privados por operarem localmente, a realidade é que eles podem ser acessados por diversos processos em diferentes contextos de segurança. Isso significa que um pipe, mesmo sendo local, não deve ser tratado como totalmente confiável. A comunicação entre um serviço privilegiado e uma aplicação de usuário menos privilegiada pode expor vulnerabilidades, permitindo que processos não autorizados acessem funcionalidades críticas do sistema. Portanto, é essencial implementar controles rigorosos de identidade e autorização, garantindo que cada operação seja validada individualmente. Além disso, a segurança dos dados transmitidos deve ser garantida, tratando todas as mensagens como não confiáveis até que sejam verificadas. A configuração inadequada de permissões e a falta de validação podem transformar um pipe nomeado em um vetor de ataque, especialmente em ambientes onde malware pode estar presente. Assim, a adoção de uma estratégia de segurança que considere esses fatores é crucial para proteger sistemas Windows contra abusos e ataques potenciais.

A Check Point Research revelou uma técnica que explora o driver BTR.sys, parte do Microsoft Defender, para realizar operações arbitrárias em nível de kernel em sistemas Windows, desde o Windows 7 até o Windows 11 25H2. Essa técnica não depende de falhas de software ou de drivers externos, tornando-a particularmente preocupante. O driver BTR.sys é um componente essencial do Windows, o que impede sua inclusão na lista de bloqueio de drivers vulneráveis da Microsoft. A pesquisa, apresentada por Jiří Vinopal na Black Hat USA 2026, demonstrou que o BTR.sys pode ser manipulado para excluir arquivos e entradas de registro, mesmo com a proteção contra alterações do Defender ativada. Embora a Check Point não tenha encontrado evidências de uso real dessa técnica em ataques, a possibilidade de sua exploração representa um risco significativo, especialmente para administradores que já possuem privilégios elevados. A Microsoft, até o momento, não planeja um patch para essa vulnerabilidade, pois a técnica requer privilégios administrativos pré-existentes. A pesquisa sugere que a restrição do privilégio SeLoadDriverPrivilege pode ser uma medida de mitigação eficaz.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta para que agências federais priorizem a correção de duas vulnerabilidades ativamente exploradas na plataforma de comunicação TrueConf Server. Esta plataforma, utilizada para mensagens corporativas e videoconferências, opera em redes locais, diferentemente de soluções baseadas em nuvem como Zoom ou Microsoft Teams. A vulnerabilidade mais crítica, identificada como CVE-2026-72529, permite que atacantes não autenticados executem scripts arbitrários remotamente em servidores não corrigidos. A segunda falha, CVE-2026-72530, envolve injeção de código de alta complexidade, possibilitando que invasores escapem de um ambiente isolado e executem comandos no sistema operacional subjacente. A CISA ordenou que as agências federais protejam seus servidores até 3 de setembro. A empresa de cibersegurança Kaspersky relatou que o grupo hacktivista Head Mare tem explorado essas vulnerabilidades desde julho de 2026, visando organizações russas em diversos setores. A situação destaca a necessidade urgente de correções, uma vez que essas falhas representam vetores de ataque frequentes para atores maliciosos.

A Cisco anunciou uma nova rodada de atualizações de segurança para suas plataformas Crosswork e Secure Workload, resultado de uma revisão interna abrangente de segurança. Quatro vulnerabilidades críticas foram identificadas nas versões 7.2.1 e anteriores do Crosswork, incluindo uma falha de injeção SQL (CVE-2026-20030) e uma vulnerabilidade de autenticação ausente (CVE-2026-20357), ambas com pontuação CVSS de 10.0. Além disso, cinco vulnerabilidades foram corrigidas no Cisco Secure Workload, afetando tanto implementações em nuvem quanto locais. As falhas incluem problemas de controle de acesso e validação de entrada, com pontuações CVSS variando de 7.5 a 10.0. A Cisco enfatizou que essas vulnerabilidades foram descobertas durante testes internos e não há evidências de exploração ativa. A empresa recomenda que os clientes apliquem as atualizações necessárias para evitar exposições futuras. O aumento da exploração de falhas em equipamentos Cisco por agentes maliciosos torna a situação ainda mais crítica, especialmente considerando a ampla utilização de suas tecnologias em redes empresariais.

A Microsoft emitiu um alerta sobre uma falha de segurança de severidade máxima no Entra ID, anteriormente conhecido como Azure Active Directory. A vulnerabilidade, identificada como CVE-2026-69836 e com uma pontuação CVSS de 10.0, permite a execução remota de código devido à deserialização de dados não confiáveis. Isso significa que um atacante não autorizado pode executar código através da rede, comprometendo a segurança do serviço de gerenciamento de identidade e acesso da empresa. A falha foi descoberta pelo engenheiro de segurança Robert Fitzaptrick e, embora tenha sido explorada ativamente, a Microsoft afirmou que já implementou mitigação completa, não exigindo ações dos usuários. Além disso, a empresa também corrigiu uma falha de escalonamento de privilégios no Windows, que estava sendo explorada por um grupo vinculado à Coreia do Norte. A situação destaca a importância da vigilância contínua em relação a vulnerabilidades em serviços amplamente utilizados, como os da Microsoft.

Uma nova vulnerabilidade de segurança no GitLab, identificada como CVE-2026-19478, foi divulgada e já está sendo ativamente explorada. Com uma pontuação CVSS de 9.4, essa falha de injeção de código permite que atacantes não autenticados modifiquem ou excluam projetos públicos do GitLab, além de reescrever dados sem a necessidade de credenciais ou interação do usuário. As versões afetadas incluem o GitLab Community Edition (CE) e o Enterprise Edition (EE) anteriores a 18.11.11, 19.0.8, 19.1.6 e 19.2.4. A exploração pode ocorrer através de uma diretiva GraphQL, e a GitLab já lançou correções para as versões vulneráveis. A empresa watchTowr, que monitora vulnerabilidades, conseguiu reproduzir a falha rapidamente e observou tentativas de exploração em sua rede honeypot. A gravidade da situação é acentuada pelo uso de inteligência artificial por atacantes, que acelera o tempo entre a divulgação da vulnerabilidade e sua exploração. Organizações que ainda não aplicaram os patches devem verificar logs em busca de atividades suspeitas e considerar restringir o acesso não autenticado ao endpoint GraphQL como medida de mitigação.

Um software de controle da NASA, especificamente a interface gráfica do AMMOS Instrument Toolkit (AIT-GUI), apresentou uma vulnerabilidade crítica que permite que atacantes não autenticados acessem e controlem espaçonaves. A falha foi identificada na versão 2.5.1 do AIT-GUI, que opera como um servidor web com todas as interfaces de rede abertas e sem proteção de autenticação ou autorização. Isso significa que um invasor poderia emitir comandos para as espaçonaves e executar scripts do lado do servidor, colocando os veículos quase totalmente fora do controle da NASA. A vulnerabilidade foi divulgada pelo pesquisador Yuval Elbar em 18 de agosto de 2026 e já foi corrigida na versão 2.5.2. A falta de proteção contra CSRF (cross-site request forgery) e a possibilidade de explorar falhas básicas de controle de acesso aumentam o risco. O acesso externo não requer que o atacante esteja na mesma rede, o que torna a situação ainda mais alarmante. A Cycode recomenda que os administradores atualizem o AIT-GUI e realizem verificações no histórico de comandos para mitigar riscos.

A Cybersecurity and Infrastructure Security Agency (CISA) dos EUA emitiu um alerta sobre a exploração de uma vulnerabilidade crítica no MLflow, uma plataforma de engenharia de IA de código aberto amplamente utilizada. A falha, identificada como CVE-2026-64849, é uma vulnerabilidade de DNS-rebinding que permite a execução de requisições forjadas do lado do servidor (SSRF), possibilitando que atacantes não privilegiados acessem serviços internos ou configurações de metadados em nuvem em instâncias não corrigidas. A equipe de segurança do MLflow destacou que a API de webhooks do servidor de rastreamento padrão está exposta sem autenticação, permitindo que um atacante não autenticado faça requisições HTTP para endpoints internos e leia as respostas. A CISA adicionou essa vulnerabilidade ao seu catálogo de falhas exploradas e ordenou que as agências federais dos EUA protejam suas instâncias do MLflow em um prazo de duas semanas. A empresa de cibersegurança watchTowr relatou que os atacantes começaram a escanear sistemas MLflow logo após a atribuição do ID CVE, indicando um alto nível de atividade maliciosa. Organizações que utilizam o MLflow devem priorizar a aplicação de patches e revisar logs de auditoria em busca de sinais de comprometimento.

A Citrix emitiu um alerta urgente para que seus clientes protejam seus sistemas contra duas vulnerabilidades críticas que afetam as soluções de acesso remoto seguro NetScaler Gateway e os dispositivos de rede NetScaler ADC. A vulnerabilidade mais grave, identificada como CVE-2026-19490, permite que atacantes remotos contornem a autenticação em configurações específicas do appliance, dependendo da versão do firmware e da configuração de SAML Action. Administradores podem verificar a vulnerabilidade inspecionando a configuração do NetScaler. A segunda falha, CVE-2026-19489, é uma vulnerabilidade de estouro de memória que pode ser explorada em ataques de negação de serviço (DoS) quando o SIP ALG está habilitado. A Citrix recomenda que os clientes atualizem seus dispositivos para versões específicas que corrigem essas falhas. Embora essas vulnerabilidades ainda não tenham sido exploradas ativamente, a Citrix também alertou sobre outras falhas que já estão sendo abusadas. A CISA incluiu uma dessas vulnerabilidades em seu catálogo de vulnerabilidades conhecidas exploradas, exigindo que agências federais protejam seus dispositivos vulneráveis rapidamente.

Uma vulnerabilidade crítica identificada como CVE-2026-32475 no plugin Elementor Pro para WordPress pode permitir que atacantes façam upload de arquivos executáveis, possibilitando a execução remota de código no servidor. Essa falha afeta versões do Elementor Pro anteriores à 4.2.2 e está relacionada ao módulo de Upload de Arquivos, que trata entradas de arquivos vazias de maneira inconsistente. Um atacante pode explorar essa vulnerabilidade criando um upload multipart em que a primeira parte tem um nome de arquivo vazio, seguido por um payload PHP malicioso. O processo de validação rejeita a primeira parte, mas a segunda parte é processada e movida para um diretório público, permitindo a execução do código malicioso. O Elementor Pro, amplamente utilizado por mais de 10 milhões de sites, já recebeu um patch para corrigir a falha. Os administradores são aconselhados a atualizar para a versão mais recente e verificar o diretório de uploads para arquivos maliciosos. Até o momento, não foram observados casos de exploração ativa dessa vulnerabilidade.

Pesquisadores da Universidade de Massachusetts Amherst demonstraram um ataque que reativa cartões de crédito Visa contactless expirados para compras em lojas, alterando a data de validade que um terminal de ponto de venda (POS) lê via comunicação por campo próximo (NFC), sem quebrar a criptografia do cartão. O ataque, denominado ‘Zombie Card’, exige a posse física do cartão expirado ou proximidade sustentada a ele, além de um relé man-in-the-middle (MitM) entre o cartão e o terminal. Os testes realizados com cartões expirados de três grandes bancos dos EUA mostraram que um deles aprovou transações reativadas, enquanto outro as rejeitou. O estudo revela que a data de validade do cartão não é protegida criptograficamente, permitindo modificações que enganam o POS. Os pesquisadores sugerem contramedidas, como vincular dados críticos de expiração a assinaturas verificáveis e realizar checagens de consistência entre as representações de expiração. A Visa e os bancos afetados foram notificados, mas até o momento não houve atualizações sobre mitigação. Este ataque representa um risco significativo, especialmente considerando a falta de proteção em sistemas amplamente utilizados.

Uma vulnerabilidade crítica no Zimbra Collaboration (ZCS), identificada como CVE-2026-73570, está sendo explorada ativamente, conforme alertado pelo CERT Polska. Com uma pontuação CVSS de 8.9, a falha permite a execução remota de código devido a uma injeção de comando, especialmente quando o pacote opcional zimbra-snmp está instalado e as notificações SNMP estão habilitadas. A vulnerabilidade resulta de uma sanitização inadequada de entradas não confiáveis durante o processamento de notificações SNMP, permitindo que um atacante não autenticado envie requisições SMTP especialmente elaboradas que podem executar comandos arbitrários no sistema operacional como o usuário do Zimbra. A Zimbra lançou um patch na versão 10.1.20 para corrigir essa falha no mês passado. O CERT Polska recomenda que os usuários verifiquem o arquivo ‘/var/log/zimbra.log’ em busca de reinicializações suspeitas do serviço Zimbra e arquivos criados nas pastas relacionadas nos últimos 30 dias. Além disso, a Zimbra tem sido um alvo frequente de atores maliciosos, como demonstrado em uma campanha de phishing orquestrada por um grupo vinculado à Rússia, que explorou uma vulnerabilidade anterior para comprometer servidores de e-mail Zimbra de organizações governamentais e comerciais ocidentais.

A Citrix anunciou atualizações para corrigir duas vulnerabilidades de segurança que afetam as implementações do NetScaler ADC e do NetScaler Gateway, incluindo uma falha crítica de bypass de autenticação. As vulnerabilidades impactam versões gerenciadas pelo cliente, mas não afetam os serviços em nuvem gerenciados pela Citrix, que já receberam as atualizações necessárias. A primeira vulnerabilidade, CVE-2026-19489, possui um CVSS de 8.8 e pode causar comportamento imprevisível ou negação de serviço (DoS) quando o SIP ALG está habilitado. A segunda, CVE-2026-19490, com um CVSS de 9.3, permite que atacantes contornem a autenticação em configurações específicas de Gateway ou servidores virtuais AAA. A Citrix recomenda que os clientes revisem suas configurações para determinar se estão expostos a essas falhas e priorizem a aplicação das atualizações. Embora não haja evidências de exploração ativa, vulnerabilidades anteriores da Citrix foram alvo de ataques rápidos após a divulgação. As versões corrigidas incluem NetScaler ADC e Gateway 14.1-73.32 ou posterior e 13.1-63.21 ou posterior.

Pesquisadores de cibersegurança revelaram uma falha crítica no isolated-vm, uma biblioteca open-source popular para Node.js, que pode permitir que atacantes escapem do ambiente isolado. A vulnerabilidade, identificada como ‘GHSA-864f-rcv7-6rh4’, afeta todas as versões da biblioteca até a 7.0.0 e foi corrigida nas versões 6.2.0 e 7.0.1. O isolated-vm é utilizado para executar JavaScript não confiável em um V8 Isolate, permitindo que múltiplos ambientes JavaScript sejam executados simultaneamente sem interferência. A falha reside na classe ExternalCopy, que permite a serialização e desserialização de objetos JavaScript entre o host e o guest. A exploração bem-sucedida da vulnerabilidade pode levar à corrupção de memória no processo host, resultando em falhas de segmentação e potencial execução remota de código. Os usuários são aconselhados a atualizar para as versões mais recentes para garantir proteção adequada. Embora a falha tenha sido crítica, a integridade da fronteira de isolamento do V8 foi mantida, indicando que a falha estava no código de ligação C++ que gerencia a transferência de valores.

A Adversa AI revelou uma técnica de ataque chamada ‘Cryptographic Context Injection’, que pode fazer com que o chatbot Grok, da xAI, envie informações sensíveis de usuários, como nome, localização aproximada e histórico de conversas, para um servidor controlado por atacantes. O ataque ocorre quando o usuário solicita um resumo de uma página da web, sem qualquer confirmação ou aviso visível. A técnica foi testada na versão 4.5 Fast do Grok e apresentou uma taxa de sucesso de 40% em 20 tentativas desde junho de 2026. O ataque utiliza instruções criptografadas que são executadas pelo código Python do Grok, permitindo que dados privados sejam enviados sem a devida autorização. A Adversa AI notificou a xAI sobre a vulnerabilidade em junho, mas não recebeu uma resposta adequada. Além disso, a pesquisa também demonstrou vulnerabilidades no modelo Gemini da Google, que permitiram a execução de injeções de prompt invisíveis. A falta de um patch ou solução imediata para o Grok levanta preocupações sobre a segurança dos dados dos usuários e a conformidade com a LGPD no Brasil.

O CERT Polska, equipe de resposta a incidentes de segurança da Polônia, alertou sobre a exploração de uma vulnerabilidade crítica na Zimbra Collaboration Suite (ZCS), um software amplamente utilizado para e-mails e colaboração. A falha, identificada como CVE-2026-73570, permite que atacantes não autenticados realizem execução remota de código ao explorar uma fraqueza de injeção de comandos no componente de monitoramento SNMP, quando as notificações SNMP estão ativadas. A equipe de segurança da Zimbra lançou uma atualização (versão 10.1.20) em 20 de julho para corrigir essa vulnerabilidade. Atualmente, mais de 12.100 servidores Zimbra estão expostos na internet, com a maioria localizada na Europa e na Ásia. O CERT Polska alertou que os administradores devem verificar logs em busca de atividades suspeitas, como reinicializações inesperadas do serviço Zimbra e arquivos criados em diretórios específicos. A vulnerabilidade já está sendo ativamente explorada, e falhas anteriores no Zimbra foram utilizadas em ataques direcionados a servidores de e-mail vulneráveis, destacando a necessidade de vigilância constante e atualização de sistemas.

Pesquisadores de cibersegurança revelaram uma falha crítica no plugin Elementor Pro para WordPress, identificada como CVE-2026-32475, com uma pontuação CVSS de 9.0. Essa vulnerabilidade permite a execução remota de código, possibilitando que atacantes não autenticados façam upload de arquivos maliciosos, como scripts PHP, para diretórios públicos. A falha reside no módulo de Formulários, especificamente no campo de Upload de Arquivos, onde a validação da extensão do arquivo e o movimento do arquivo para o diretório público são tratados de forma inadequada. Isso permite que um atacante contorne a lista de bloqueio de extensões ao enviar partes de arquivos. A exploração bem-sucedida pode comprometer sistemas que utilizam versões do plugin anteriores à 4.2.1. A única condição para o ataque é que o site alvo tenha pelo menos uma página publicada do Elementor com um widget de Formulário que contenha um campo de Upload. A vulnerabilidade foi descoberta por Tin Pham e um patch foi disponibilizado em 19 de agosto de 2026. Os usuários do WordPress são aconselhados a manter seus sites e plugins atualizados e a auditar suas configurações para evitar modificações não autorizadas.

Pesquisadores em cibersegurança revelaram um ataque remoto do tipo Spectre que comprometeu a segurança dos Cloudflare Workers, resultando no vazamento de um JSON Web Token (JWT) de um Worker co-localizado no ambiente de produção. O ataque conseguiu extrair dados a uma taxa de até 12 bits por segundo, superando em 360 vezes um ataque anterior demonstrado em 2021. A pesquisa envolveu um Worker atacante e um Worker vítima, com o JWT colocado intencionalmente na memória do trabalhador alvo. A Cloudflare afirmou que não houve acesso a dados de clientes e que já implementou mitigação para o problema, melhorando o isolamento de processos dinâmicos (DyPrIs) e integrando o V8 Sandbox. Os pesquisadores destacaram que a implementação do DyPrIs era insuficiente, permitindo vazamentos entre inquilinos em processos compartilhados. O ataque não dependia de exploração de software ou fuga do sandbox, mas sim de uma leitura de memória dentro do processo compartilhado. A Cloudflare também implementou medidas adicionais de proteção, como chaves de proteção de memória (MPK) para isolamento em processo. Embora o ataque tenha sido mitigado, a pesquisa ressalta a necessidade de uma detecção robusta durante a execução para evitar vazamentos de dados.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade de execução remota de código (RCE) crítica no componente Windows Internet Key Exchange (IKE) Service Extensions, identificada como CVE-2026-33824. Essa falha afeta todas as versões suportadas do Windows 10, Windows 11 e Windows Server, permitindo que atacantes não autorizados executem código malicioso ao enviar pacotes especialmente elaborados para sistemas Windows não corrigidos através das portas UDP 500 ou 4500. A Microsoft já lançou um patch para corrigir a vulnerabilidade, mas a CISA recomendou que, enquanto a atualização não for aplicada, as equipes de segurança bloqueiem o tráfego de entrada nessas portas em sistemas que não utilizam o IKE. A CISA também classificou a vulnerabilidade como ativamente explorada, exigindo que as agências federais dos EUA tomem medidas para proteger seus dispositivos em um prazo de três dias. A situação é preocupante, pois esse tipo de vulnerabilidade é um vetor de ataque comum para cibercriminosos, representando riscos significativos para a segurança das redes federais e, potencialmente, para empresas no Brasil que utilizam tecnologias da Microsoft.

A Microsoft anunciou a resolução de um bug que fazia com que o Windows Defender falhasse após uma atualização de segurança recente, resultando em erros de violação de acesso 0xc0000005 em alguns sistemas. O Microsoft Defender é um software de segurança que oferece proteção em tempo real contra malware, vírus, ransomware e spyware em dispositivos Windows, macOS, Linux, Android e iOS. Usuários começaram a relatar mensagens de erro como “O serviço de ameaça parou. Reinicie-o agora” em dispositivos com Windows 10 e 11, levando alguns a reinstalar o sistema operacional. A Microsoft confirmou o problema e informou que a correção foi incluída em uma nova atualização de assinatura. A empresa recomenda que os usuários atualizem seus sistemas via Windows Update para garantir a instalação da atualização de inteligência de segurança mais recente. Além disso, em maio, houve relatos de que o Defender sinalizou entradas de certificados raiz da DigiCert como malware, resultando em alertas falsos positivos. Este incidente destaca a importância de manter os sistemas atualizados para evitar falhas de segurança e interrupções no serviço.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou quatro vulnerabilidades críticas ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), alertando que estão sendo ativamente exploradas. As falhas incluem a CVE-2026-65400, uma vulnerabilidade de autenticação inadequada no macOS da Apple, com um CVSS de 9.8, que permite que atacantes autentiquem-se no Screen Sharing sem credenciais válidas. Outra falha, a CVE-2026-55040, afeta o Microsoft SharePoint, permitindo que atacantes não autorizados contornem recursos de segurança. A CVE-2026-59310, uma vulnerabilidade de travessia de caminho no VMware vCenter, e a CVE-2026-33824, uma vulnerabilidade de ‘double free’ no Microsoft IKE, também foram identificadas como críticas, ambas com CVSS de 9.8. Apesar de já terem sido corrigidas, essas vulnerabilidades foram exploradas para implantar malware, incluindo um minerador de criptomoedas e ransomware. As atividades comprometeram 361 endereços IP únicos em 47 países, com a maioria das infecções concentradas na Alemanha, EUA, Turquia, Irã e França. As agências do governo dos EUA têm até 21 de agosto de 2026 para atualizar seus sistemas vulneráveis.

Pesquisadores de cibersegurança da Hunt.io revelaram detalhes sobre a Operação CameraSwarm, que comprometeu mais de 14.530 dispositivos Dahua entre 17 de junho e 22 de julho de 2026. A campanha utilizou ataques de credenciais, falhas de bypass de autenticação e uma técnica de relé P2P. A maioria dos dispositivos afetados estava localizada na Ucrânia e na Rússia, com 1.923 câmeras configuradas com contas persistentes e 283 acessadas via P2P. As falhas CVE-2021-33044 e CVE-2021-33045, que permitem o bypass de autenticação, foram exploradas, com a Dahua recomendando a instalação de firmware atualizado e a desativação do P2P quando não necessário. A Hunt.io atribui a campanha a três vetores de ataque, sendo que 12.324 endereços IP únicos foram utilizados em ataques de credenciais. A situação é preocupante, pois as falhas ainda estão listadas como vulnerabilidades conhecidas pela CISA, exigindo atenção imediata dos usuários de dispositivos Dahua.

Pesquisadores da Universidade de Birmingham e da empresa de segurança Fuzzware descobriram que cartões SIM maliciosos podem explorar uma vulnerabilidade em dispositivos, permitindo que atacantes executem comandos remotamente. O estudo focou em uma funcionalidade chamada Proactive SIM, que permite que um SIM envie comandos para o dispositivo, em vez de apenas identificar o usuário na rede. A pesquisa revelou que, de 26 dispositivos testados, nove apresentaram uma interface SIM AT exposta, sendo a maioria em hardware de máquina a máquina, como módulos celulares e carregadores de veículos elétricos. Embora o ataque exija que o invasor já tenha controle sobre o SIM, a possibilidade de exploração em equipamentos IoT é alarmante, especialmente em dispositivos que não recebem atualizações de firmware com frequência. A Qualcomm já desenvolveu uma configuração mais segura que desativa essa interface por padrão, mas a falta de avisos públicos por parte dos fabricantes é preocupante. A situação destaca a necessidade de atenção redobrada em relação à segurança de dispositivos conectados, especialmente aqueles que operam sem supervisão constante.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) confirmou que grupos de ransomware estão explorando uma vulnerabilidade crítica no Windows Task Host, identificada como CVE-2025-60710. Essa falha de escalonamento de privilégios, que afeta dispositivos com Windows 11 e Windows Server 2025, permite que atacantes locais com permissões de usuário básico adquiram privilégios de SYSTEM, obtendo controle total sobre dispositivos não corrigidos. A vulnerabilidade foi corrigida pela Microsoft em novembro de 2025, mas a CISA a incluiu em sua lista de vulnerabilidades ativamente exploradas em 13 de abril, dando um prazo de duas semanas para que agências federais protegessem seus sistemas. Embora a CISA não tenha fornecido detalhes sobre ataques em andamento, a agência alertou que esse tipo de vulnerabilidade é um vetor de ataque frequente e representa riscos significativos para a segurança federal. Além disso, a CISA também destacou que grupos de ransomware começaram a explorar uma vulnerabilidade de execução remota de código no Microsoft SharePoint (CVE-2026-45659). Desde novembro de 2021, a CISA identificou 383 vulnerabilidades ativamente exploradas em produtos da Microsoft, 112 das quais foram utilizadas em ataques de ransomware.

O Blue Report 2026, da Picus Labs, revela que a eficácia de prevenção em cibersegurança aumentou de 62% para 69%, retornando ao pico de 2024. No entanto, essa média esconde vulnerabilidades significativas. Os controles que bloqueiam ferramentas de ataque conhecidas falham em detectar variantes mais discretas. O teste baseado em Indicadores de Comprometimento (IOC) mostrou uma taxa de prevenção de 50% para downloads de malware, uma queda alarmante em relação aos anos anteriores. Além disso, a eficácia de bloqueio de ações internas, como o uso do Mimikatz para roubo de credenciais, caiu drasticamente, com apenas 37% das tentativas sendo bloqueadas após a invasão. O relatório destaca que, enquanto ações barulhentas como movimento lateral são detectadas em 90% dos casos, atividades silenciosas, como a leitura de segredos do registro, são quase totalmente ignoradas. A Picus recomenda uma abordagem dupla de testes, combinando IOC e validação comportamental, para garantir uma defesa robusta. O relatório também sugere que as empresas devem conhecer suas ferramentas de segurança existentes para tomar decisões informadas sobre como mitigar riscos.

Duas vulnerabilidades críticas foram identificadas em plataformas de código aberto, MLflow e FUXA, que estão sendo ativamente exploradas por atacantes. A primeira, CVE-2026-64849, com um CVSS de 9.3, é uma falha de Server-Side Request Forgery (SSRF) no MLflow, permitindo que um invasor não autenticado envie requisições HTTP para endpoints internos de metadados na nuvem, potencialmente extraindo dados sensíveis. Essa vulnerabilidade afeta versões anteriores à 3.15.0 e já está sendo explorada para acessar serviços internos e credenciais na nuvem. A segunda vulnerabilidade, CVE-2026-25895, apresenta um CVSS de 9.5 e se refere a uma falha de autenticação e travessia de caminho no FUXA, permitindo que um atacante remoto não autenticado escreva arquivos arbitrários no sistema do servidor, levando à execução remota de código. Essa falha afeta versões até 1.2.9 e já está sendo alvo de escaneamentos maliciosos. Organizações que utilizam essas plataformas devem priorizar a aplicação de patches e a revisão de logs de auditoria para identificar possíveis compromissos.

A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, coletivamente chamadas de CoSnitch, que podem permitir que um clique em um link malicioso extraia dados de aplicativos conectados e outras informações disponíveis na sessão do usuário. As falhas foram reportadas à Microsoft em dezembro de 2025 e corrigidas em 18 de agosto de 2026. O CVE-2026-24301 documenta essas vulnerabilidades, que incluem a execução automática de prompts e a exfiltração de dados através de serviços conectados. Os pesquisadores descobriram que um parâmetro não documentado, ‘autorun=1’, poderia ser utilizado em combinação com outro parâmetro para executar comandos sem interação do usuário. Embora não haja evidências de exploração ativa, a Varonis recomenda que os usuários revisem quais aplicativos estão conectados ao Copilot e desconectem aqueles que não são necessários. A pesquisa destaca a importância de tratar assistentes de IA como insiders privilegiados, especialmente em relação à detecção de anomalias e revisão de acessos.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha crítica no framework Ray ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), destacando evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-62593, possui uma pontuação CVSS de 9.4 e permite a execução remota de código através de navegadores como Mozilla Firefox e Apple Safari, utilizando um ataque de DNS rebinding. A falha se origina da falta de autenticação em endpoints críticos do Ray, o que possibilita que atacantes executem código arbitrário em ambientes de desenvolvimento. O problema afeta principalmente desenvolvedores que utilizam o Ray em suas máquinas, especialmente se forem vítimas de phishing ou anúncios maliciosos. A vulnerabilidade já foi explorada por grupos de ataque, como o botnet RondoDox, e também está sendo usada em campanhas de mineração de criptomoedas. A versão 2.52.0 do pacote Python Ray já corrige a falha, e a CISA recomenda que agências federais apliquem as correções até 20 de agosto de 2026.

Uma vulnerabilidade crítica foi identificada no plugin Forminator Forms, utilizado em mais de 600 mil sites WordPress, que permite a execução de código arbitrário. A falha, classificada como CVE-2026-15748 e com uma pontuação de 9.8 no sistema CVSS, foi descoberta por um pesquisador de segurança conhecido como ‘daroo’. A vulnerabilidade permite que atacantes não autenticados façam upload de arquivos, incluindo arquivos PHP executáveis, em sites vulneráveis, levando a uma possível tomada de controle total do site. Para que a exploração seja bem-sucedida, o site deve conter um formulário com um campo de upload de arquivo e um campo de seleção. A falha afeta todas as versões do plugin até a 1.56.1, sendo corrigida na versão 1.56.2, lançada em 31 de julho de 2026. O problema reside na função ‘handle_file_upload()’, que não valida adequadamente os tipos de arquivo. Embora os arquivos sejam, por padrão, enviados para um diretório protegido, configurações personalizadas podem expor o site a riscos. Os proprietários de sites que utilizam o Forminator Forms devem atualizar imediatamente para a versão corrigida para evitar possíveis ataques.

Pesquisadores de cibersegurança da Wiz identificaram uma vulnerabilidade de injeção no fluxo de trabalho do GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha permitia a execução de comandos em um fluxo de trabalho que continha credenciais internas do Jira, expostas quando um problema público era aberto. A vulnerabilidade estava localizada no arquivo .github/workflows/jira_issue.yml, que expunha informações sensíveis como JIRA_BASE_URL, JIRA_USER_EMAIL e JIRA_API_TOKEN. A Wiz conseguiu explorar a falha durante testes de segurança autorizados, obtendo o token da API do Jira, que permitia acesso de leitura a projetos relacionados a engenharia e segurança. A Snowflake foi notificada em 23 de junho de 2026 e rapidamente implementou uma correção. Embora a empresa tenha afirmado que não houve evidências de acesso não autorizado, a vulnerabilidade destaca a importância de gerenciar adequadamente as credenciais em automações de CI/CD. Até a data do relatório, não havia registro de CVE ou pontuação CVSS associada a essa falha, mas a Wiz recomenda cautela ao lidar com dados não confiáveis em blocos de execução.

O GitLab lançou atualizações de segurança em 17 de agosto de 2026, para corrigir uma vulnerabilidade crítica, identificada como CVE-2026-19478, que pode permitir que atacantes não autenticados modifiquem ou excluam projetos públicos e dados de usuários. Com uma pontuação CVSS de 9.4, essa falha afeta as edições Community e Enterprise do software, especialmente em instalações autogeridas. As versões afetadas incluem todas as versões a partir da 18.2 até antes da 18.11.11, bem como versões 19.0 antes da 19.0.8, 19.1 antes da 19.1.6 e 19.2 antes da 19.2.4. O GitLab.com e o GitLab Dedicated já estão rodando a versão corrigida, portanto, seus usuários não precisam tomar nenhuma ação. Além disso, uma segunda vulnerabilidade, CVE-2026-19650, relacionada a uma fraqueza de CSRF, foi corrigida, com uma pontuação CVSS de 7.1, que requer interação do usuário para ser explorada. O GitLab não divulgou detalhes sobre as condições específicas para a exploração da falha crítica, mas enfatizou a importância de aplicar as correções o mais rápido possível para proteger os dados dos usuários.

O artigo de Len Noe, arquiteto de soluções da BeyondTrust, destaca a vulnerabilidade Certighost (CVE-2026-54121), que permite a um usuário de baixo privilégio no Active Directory (AD) manipular a Autoridade de Certificação (CA) para emitir um certificado de autenticação válido para um Controlador de Domínio. Essa falha ocorre devido ao comportamento de ‘chase’ da CA, que não verifica a legitimidade do endpoint antes de se conectar. Com um certificado falso, um atacante pode obter um Ticket Granting Ticket (TGT) como se fosse um Controlador de Domínio, permitindo o acesso a informações sensíveis, como hashes de contas. Embora a Microsoft tenha lançado um patch em 14 de julho de 2026, a vulnerabilidade expõe a fragilidade das configurações padrão do AD, onde usuários autenticados podem criar contas de máquina. O artigo enfatiza que a verdadeira questão não é apenas a falha no certificado, mas sim a falta de validação de confiança em sistemas críticos. A recomendação é aplicar o patch imediatamente e revisar as permissões de criação de contas de máquina para mitigar riscos futuros.

Pesquisadores de segurança da SSD Secure Disclosure revelaram uma cadeia de exploração em duas etapas que permite acesso total ao kernel do Android em dispositivos que utilizam firmware de modem da Unisoc, através de uma chamada de vídeo VoLTE. A primeira etapa foi divulgada em março de 2026, quando foi identificada uma execução remota de código (RCE) em firmware por meio de uma chamada de vídeo SIP malformada. Para completar a cadeia, o atacante deve controlar uma rede celular 4G privada e a vítima deve atender a chamada. A vulnerabilidade de escalonamento de privilégios, classificada como CWE-1189, reside no firmware do modem compartilhado por pelo menos três chipsets da Unisoc, incluindo o T606, T612 e T7250, utilizados em dispositivos como Motorola E13 e Xiaomi Redmi A5. Até o momento, não há correção disponível e a Unisoc não respondeu aos contatos dos pesquisadores. A situação é preocupante, pois a falha permite que o código do modem modifique a memória do kernel Android, comprometendo a segurança dos dispositivos afetados. Os proprietários de dispositivos devem ficar atentos a atualizações de firmware de seus fabricantes.

Os servidores do Protocolo de Contexto de Modelo (MCP) podem expor segredos empresariais devido a arquivos de configuração em texto claro, permissões excessivas e injeção de comandos, frequentemente antes que as equipes de segurança percebam sua operação. O MCP, um padrão aberto que permite que agentes de IA se conectem a ferramentas e dados externos, representa um risco significativo, pois esses servidores armazenam credenciais e chaves de acesso. As principais vulnerabilidades incluem a exposição de credenciais em arquivos de configuração, a proliferação de segredos em servidores não regulamentados, e a possibilidade de injeção de comandos que podem manipular agentes de IA. Para mitigar esses riscos, as organizações devem centralizar a gestão de segredos, utilizar credenciais de curta duração, aplicar o princípio do menor privilégio, e garantir que ações sensíveis sejam confirmadas por humanos. Além disso, a criptografia de segredos e a auditoria das atividades dos agentes são essenciais para proteger informações críticas. A crescente adoção de agentes de IA torna urgente que as empresas reavaliem suas práticas de segurança em relação ao MCP.

Recentemente, uma série de ataques cibernéticos destacou a exploração de vulnerabilidades críticas em sistemas amplamente utilizados. Um dos principais incidentes envolve um grupo APT suspeito da China, que explorou uma falha no VMware vCenter (CVE-2026-59310), permitindo a execução de código arbitrário e a instalação de ransomware. Além disso, uma falha no macOS (CVE-2026-65400) foi utilizada para implantar um minerador de criptomoedas, afetando sistemas com acesso à porta 5900. O grupo Lazarus, da Coreia do Norte, também foi responsável pela exploração de uma vulnerabilidade zero-day no Windows, visando empresas de defesa e aeroespacial em vários países, incluindo o Brasil. Outro destaque é o Amnesia Stealer, um malware que permite o controle remoto de navegadores em sistemas macOS, roubando dados sensíveis. Essas ameaças revelam a importância de uma governança robusta em cibersegurança, especialmente com a crescente adoção de IA, onde apenas 36% das organizações possuem um programa formal de gerenciamento de riscos relacionados à IA. A falta de atenção a pequenas vulnerabilidades pode resultar em grandes problemas, exigindo ações imediatas para mitigar riscos.

Na última sexta-feira, a Microsoft anunciou que está trabalhando em um patch para uma vulnerabilidade zero-day no Microsoft Defender, identificada como ‘ShieldBreak’. Essa falha, divulgada pelo pesquisador de segurança conhecido como ‘Nightmare Eclipse’, permite que atacantes locais com permissões limitadas escalem seus privilégios para o nível de SYSTEM em sistemas Windows 10, Windows 11 e Windows Server. A vulnerabilidade foi classificada como CVE-2026-69414 e é considerada uma continuação de uma falha anterior chamada RoguePlanet, que não foi devidamente corrigida. Nightmare Eclipse apresentou uma prova de conceito (PoC) que demonstra a eficácia do exploit, que foi testado com uma taxa de sucesso de 100% nas versões mais recentes do Windows. A Microsoft, por sua vez, confirmou que está ciente da vulnerabilidade e se comprometeu a fornecer uma atualização de segurança de alta qualidade. A divulgação pública da vulnerabilidade ocorreu em meio a uma disputa entre o pesquisador e a Microsoft sobre práticas de divulgação de falhas e recompensas por bugs. A situação levanta preocupações sobre a segurança dos sistemas que utilizam o Defender, especialmente considerando que a proteção pode ser comprometida após a obtenção de credenciais válidas pelos atacantes.

Pesquisadores da Universidade de Birmingham e da Universidade de Durham descobriram uma vulnerabilidade crítica no Windows, chamada de “Download more RAM”, que permite a atacantes desativar softwares antivírus e outras proteções com um simples script. Essa falha, que afeta módulos de memória DDR4 e DDR5 de fabricantes como Corsair, G.Skill e ADATA, possibilita que o invasor manipule a configuração da memória, fazendo com que o sistema acredite ter mais memória do que realmente possui. Isso permite contornar medidas de segurança avançadas, como a Virtualization-based Security (VBS) e a Hypervisor-Enforced Code Integrity (HVCI). A vulnerabilidade foi classificada como CVE-2026-23670 e recebeu uma pontuação de severidade de 5.7/10. A Microsoft já lançou um patch para corrigir a falha, mas os usuários devem tomar precauções adicionais, como habilitar a proteção de gravação em seus módulos de memória. A descoberta ressalta a importância de entender as garantias de segurança dos sistemas, pois uma falha em um nível inferior pode comprometer toda a segurança do sistema.

Uma vulnerabilidade crítica de execução remota de código no SAP Commerce Cloud, identificada como CVE-2026-58231, foi corrigida recentemente, mas já está sendo alvo de ataques. Essa falha, que resulta de uma fraqueza na autorização do núcleo do Data Hub Adapter, permite que atacantes não autenticados executem código arbitrário com baixa complexidade. A SAP descreve que a exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade da aplicação. Apesar de a SAP ainda não ter classificado a falha como ativamente explorada, a empresa de inteligência Defused confirmou que tentativas de exploração começaram a ser registradas em honeypots apenas três dias após o lançamento do patch. A SAP recomenda que seus clientes apliquem a correção imediatamente. O grupo de vigilância de segurança Shadowserver monitora mais de 4.200 endereços IP com a impressão digital do SAP Commerce Cloud, a maioria na Europa e América do Norte, mas não há informações sobre quantos já foram protegidos contra esses ataques. A situação é preocupante, especialmente considerando que a SAP já corrigiu várias vulnerabilidades críticas nos últimos meses, destacando a necessidade de atenção constante à segurança em plataformas amplamente utilizadas.

O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade de bypass de autenticação no macOS, após a divulgação de um código de exploração público. A falha, identificada como CVE-2026-65400, afeta o recurso de Compartilhamento de Tela do macOS, que utiliza o protocolo VNC na porta TCP 5900. Essa vulnerabilidade permite que atacantes obtenham acesso não autorizado a sistemas, podendo abrir aplicativos, acessar arquivos e alterar configurações de segurança. O NCSC informou que a exploração já foi observada em sistemas expostos à internet, onde os invasores conseguiram acesso root e instalaram um minerador de criptomoedas Monero. Para mitigar o problema, os usuários do macOS são aconselhados a atualizar seus sistemas para versões que corrigem a falha, como macOS Tahoe 26.6.1, Sequoia 15.7.9 e Sonoma 14.8.9. Caso a atualização não seja viável, recomenda-se desativar o Compartilhamento de Tela. O NCSC não forneceu detalhes sobre a extensão dos ataques ou o número de sistemas afetados, mas enfatizou a necessidade de ações imediatas para proteger os sistemas vulneráveis.

O recente lançamento do Anthropic Mythos destaca a evolução dos agentes de IA, que agora atuam como funcionários autônomos com acesso a bancos de dados e sistemas críticos. No entanto, a segurança que protege esses agentes ainda se baseia em estratégias que falharam anteriormente, como demonstrado pelos jailbreaks do ChatGPT em 2023. A autonomia desses agentes, combinada com o acesso privilegiado e a velocidade de execução, aumenta significativamente a superfície de ataque, tornando as defesas tradicionais insuficientes. O artigo enfatiza a necessidade de uma mudança fundamental na abordagem de segurança, sugerindo que as empresas adotem controles de segurança em nível de hardware, além das camadas de software. A recente vulnerabilidade crítica (CVE-2025-49596) que emergiu em um curto período após a implementação do Modelo Context Protocol (MCP) exemplifica a urgência dessa mudança. A segurança deve ir além da camada de aplicação, incorporando um ‘Hardware Root of Trust’ para proteger dados sensíveis e evitar que brechas se transformem em compromissos totais do sistema. Com o aumento do uso de agentes de IA, é crucial que as empresas reavaliem suas estratégias de segurança para garantir a proteção adequada contra essas novas ameaças.

A Microsoft lançou patches de segurança para uma vulnerabilidade zero-day no Windows, conhecida como ‘LegacyHive’, que foi divulgada após o Patch Tuesday de julho de 2026. A falha foi descoberta pelo pesquisador de segurança que utiliza o pseudônimo ‘Nightmare Eclipse’, que criticou as práticas de recompensa e divulgação de vulnerabilidades da Microsoft. O exploit, que foi publicado logo após a divulgação dos patches, permite que usuários não administradores modifiquem o registro do sistema e executem código automaticamente quando uma conta de administrador faz login. Embora o exploit exija credenciais adicionais, o que dificulta sua exploração, a vulnerabilidade ainda representa um risco significativo. A Microsoft reconheceu a falha como CVE-2026-62832, resultante de uma resolução inadequada de links antes do acesso a arquivos no Serviço de Perfil de Usuário do Windows. Além disso, a ACROS Security lançou patches não oficiais para sistemas afetados. A situação é preocupante, pois a exploração bem-sucedida pode permitir que atacantes acessem dados de outros usuários e obtenham privilégios de administrador sem interação do usuário. A Microsoft ainda não reconheceu publicamente Nightmare Eclipse como o descobridor da falha, rotulando-o como um pesquisador anônimo.