Vulnerabilidade

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e a Agência de Segurança Nacional (NSA), em colaboração com parceiros internacionais, emitiram orientações para proteger instâncias locais do Microsoft Exchange Server contra possíveis explorações. As recomendações incluem restringir o acesso administrativo, implementar autenticação multifatorial e adotar princípios do modelo de segurança de confiança zero. As agências alertam que a atividade maliciosa direcionada ao Exchange Server continua a aumentar, especialmente em instâncias desprotegidas ou mal configuradas. Organizações são aconselhadas a descontinuar servidores Exchange obsoletos e migrar para o Microsoft 365. Além disso, a CISA atualizou o alerta sobre a vulnerabilidade CVE-2025-59287, que pode permitir a execução remota de código, recomendando que as organizações apliquem atualizações de segurança e monitorem atividades suspeitas em suas redes. A exploração dessa vulnerabilidade já foi identificada em diversas indústrias, incluindo tecnologia e saúde, destacando a urgência de ações corretivas para mitigar riscos.

Um novo recurso da ThreatLocker, chamado Defense Against Configurations (DAC), foi lançado para macOS, visando identificar e corrigir configurações inseguras que podem ser exploradas por atacantes. O DAC realiza varreduras frequentes nos dispositivos, detectando falhas como a falta de criptografia em discos, configurações inadequadas de firewall e permissões excessivas de compartilhamento. Essas vulnerabilidades são comuns em ambientes de trabalho que utilizam Macs, especialmente em setores criativos como design e produção de mídia. O DAC fornece um painel de controle unificado, permitindo que administradores visualizem e remedeiem problemas de segurança de forma eficiente, alinhando-se a frameworks de segurança reconhecidos como CIS e NIST. A funcionalidade é especialmente relevante para organizações que utilizam Macs, pois oferece uma camada adicional de visibilidade e controle sobre a segurança dos endpoints, ajudando a prevenir incidentes antes que ocorram.

Pesquisadores das universidades Georgia Tech e Purdue University descobriram uma falha grave em CPUs modernas da AMD e Intel, que permite o acesso a informações sensíveis armazenadas no Ambiente de Execução Confiável (TEE). O ataque, denominado TEE.Fail, explora vulnerabilidades nas tecnologias Intel SGX/TDX e AMD SEV-SNP, especialmente em sistemas que utilizam memórias DDR5. Embora o método de ataque exija acesso físico à máquina e uma modificação invasiva, ele pode ser realizado com um custo inferior a 1.000 euros, tornando-o acessível até mesmo para entusiastas de hardware. Durante os testes, os pesquisadores conseguiram extrair chaves de assinatura do OpenSSL em máquinas virtuais protegidas pela tecnologia SEV-SNP da AMD, mesmo com a segurança adicional ativada. Apesar da gravidade da vulnerabilidade, o ataque não representa uma ameaça imediata para o usuário comum, pois requer privilégios de administrador e acesso físico. A AMD, única entre as fabricantes a responder, afirmou que não planeja correções, uma vez que a solução exigiria alterações de hardware. Essa situação levanta preocupações sobre a segurança de dados sensíveis em ambientes corporativos que utilizam essas tecnologias.

Uma vulnerabilidade severa foi descoberta no motor de renderização Blink do Chromium, permitindo que navegadores baseados em Chromium, como Google Chrome e Microsoft Edge, sejam explorados para falhar em questão de segundos. O pesquisador de segurança Jose Pino, que revelou a falha, a nomeou de Brash. Essa vulnerabilidade se origina da falta de limitação de taxa nas atualizações da API ‘document.title’, permitindo que milhões de mutações do modelo de objeto do documento (DOM) sejam enviadas por segundo, levando o navegador a travar e degradar o desempenho do sistema. O ataque ocorre em três etapas: geração de hash, injeção em rajadas de atualizações e saturação da thread da interface do usuário, resultando em um navegador não responsivo. Além disso, Brash pode ser programada para ser ativada em momentos específicos, funcionando como uma bomba lógica. A falha afeta todos os navegadores baseados em Chromium, enquanto o Mozilla Firefox e o Apple Safari estão imunes. A equipe do Hacker News entrou em contato com o Google para obter mais informações sobre a correção.

Recentemente, foram divulgadas 14 vulnerabilidades críticas no Jenkins, um servidor de automação amplamente utilizado, que expõem as infraestruturas de CI/CD de empresas a riscos significativos. Entre as falhas, destaca-se o bypass de autenticação SAML, identificado como CVE-2025-64131, com uma pontuação CVSS de 8.4. Essa vulnerabilidade permite que atacantes interceptem e reproduzam requisições de autenticação SAML, obtendo acesso total a contas de usuários sem a necessidade de credenciais válidas. Além disso, o plugin MCP Server apresenta falhas de autorização que permitem a escalada de privilégios, enquanto o plugin Azure CLI possibilita a execução de comandos de sistema arbitrários. Outras vulnerabilidades incluem injeções de comandos, armazenamento em texto simples de tokens de autenticação e problemas de verificação de permissões. As organizações que utilizam versões afetadas devem priorizar a aplicação de patches para mitigar esses riscos e proteger suas operações. A atualização para versões corrigidas é essencial para evitar acessos não autorizados e ataques de escalada de privilégios.

Pesquisadores de segurança identificaram uma falha crítica na arquitetura do motor de renderização Blink, que afeta navegadores baseados em Chromium, como Chrome, Edge, Brave e Opera, colocando mais de 3 bilhões de usuários em risco de ataques de negação de serviço (DoS). Denominada Brash, a vulnerabilidade permite que atacantes incapacitem completamente esses navegadores em apenas 15 a 60 segundos, utilizando técnicas simples de injeção de código. O ataque explora a ausência de limitação de taxa na API document.title, inundando o navegador com milhões de solicitações de atualização de título por segundo, o que sobrecarrega o thread principal do navegador e provoca um colapso do sistema. Testes mostraram que todos os navegadores baseados em Chromium são vulneráveis, enquanto Firefox e Safari permanecem imunes devido a arquiteturas de renderização diferentes. As consequências vão além da simples inconveniência, afetando o desempenho do sistema e podendo interromper operações críticas em setores como saúde e finanças. A vulnerabilidade ainda não foi corrigida, e patches estão em desenvolvimento, o que exige atenção imediata dos usuários e administradores de sistemas.

Uma vulnerabilidade crítica foi identificada no plugin Anti-Malware Security e Brute-Force Firewall do WordPress, afetando mais de 100 mil sites globalmente. A falha, registrada como CVE-2025-11705, permite que atacantes autenticados com acesso básico leiam arquivos arbitrários nos servidores afetados, expondo dados sensíveis como configurações e credenciais de banco de dados. O problema decorre da ausência de uma verificação de autorização na função GOTMLS_ajax_scan(), que exibe resultados de varredura de malware. Apesar de mecanismos de proteção, a implementação falhou em validar corretamente as capacidades dos usuários, permitindo que contas de baixo privilégio contornassem essas salvaguardas. A vulnerabilidade foi descoberta pelo pesquisador Dmitrii Ignatyev e divulgada através do programa de recompensas da Wordfence, resultando em um patch liberado em 15 de outubro de 2025. Administradores de sites devem atualizar imediatamente para a versão 4.23.83 ou posterior para mitigar os riscos. Este incidente destaca a importância de manter versões de plugins atualizadas e monitorar avisos de segurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287. Essa falha permite que atacantes não autenticados executem código remotamente com privilégios de sistema, comprometendo a infraestrutura de milhões de servidores. A CISA atualizou suas diretrizes em 29 de outubro de 2025, recomendando que as organizações identifiquem servidores vulneráveis e apliquem imediatamente a atualização de segurança emergencial da Microsoft, lançada em 23 de outubro de 2025. Para aqueles que não conseguem aplicar os patches rapidamente, a CISA sugere desabilitar temporariamente o WSUS ou bloquear o tráfego para as portas padrão do WSUS. Além disso, as equipes de segurança devem monitorar tentativas de exploração e movimentos laterais dentro da rede, prestando atenção a processos suspeitos que possam indicar uma violação. A vulnerabilidade foi adicionada ao catálogo de Vulnerabilidades Conhecidas da CISA, confirmando a exploração ativa desde pelo menos 24 de outubro de 2025. A situação exige atenção imediata das organizações para evitar compromissos severos em suas operações.

O Google lançou oficialmente a versão 142 do Chrome, que traz atualizações de segurança essenciais para as plataformas Windows, Mac e Linux. Esta nova versão corrige 20 vulnerabilidades de alta severidade, muitas das quais poderiam permitir a execução remota de código, comprometendo dados e a integridade do sistema dos usuários. Entre os problemas abordados, destacam-se falhas no motor JavaScript V8, como confusão de tipos e condições de corrida, que podem resultar em execução de código arbitrário. Além disso, foram feitas correções em questões de manipulação de mídia e vulnerabilidades no framework de extensões, que poderiam ser exploradas para elevar privilégios. O programa de recompensas por vulnerabilidades do Google incentivou a contribuição de pesquisadores externos, com recompensas variando de $2.000 a $50.000. Os profissionais de segurança recomendam a ativação de atualizações automáticas para garantir proteção imediata contra tentativas de exploração. A versão 142 do Chrome reforça a postura de segurança do navegador em um cenário de ameaças cibernéticas em constante crescimento.

A Microsoft corrigiu uma vulnerabilidade crítica no driver Windows Cloud Files Minifilter, identificada como CVE-2025-55680, que permite a atacantes locais escalar privilégios e criar arquivos arbitrários no sistema. Descoberta por pesquisadores da Exodus Intelligence em março de 2024, a falha foi incluída nas atualizações de segurança de outubro de 2025, recebendo uma pontuação CVSS de 7.8 devido à sua capacidade de conceder acesso em nível SYSTEM por meio de técnicas de side-loading de DLLs.

Um novo projeto de pesquisa em segurança, denominado TEE.fail, revelou vulnerabilidades críticas em Ambientes de Execução Confiável (TEEs) modernos da Intel, AMD e Nvidia. Os pesquisadores demonstraram que atacantes podem extrair chaves criptográficas por meio da interposição do barramento de memória DDR5, utilizando equipamentos comuns. Apesar das proteções de segurança em nível de hardware, esses ataques físicos podem comprometer ambientes de computação confidenciais ao interceptar o tráfego de memória DDR5. O ataque explora uma fraqueza fundamental na implementação da criptografia de memória pelas empresas, que utilizam modos de criptografia determinísticos, permitindo que padrões no tráfego de memória criptografada revelem informações sobre os dados subjacentes. Os pesquisadores conseguiram extrair chaves de atestação ECDSA do Intel Provisioning Certification Enclave (PCE) em uma única operação de assinatura, forjando cotações de atestação TDX que passaram pela verificação oficial da Intel. Além disso, a vulnerabilidade se estende à segurança de computação confidencial da Nvidia, permitindo a execução não autorizada de cargas de trabalho de IA. O ataque não requer exploração em nível de software, tornando as mitig ações tradicionais ineficazes. Este estudo, realizado por equipes da Georgia Tech e da Purdue University, destaca a importância das proteções de acesso físico, mesmo com os avanços tecnológicos em computação confidencial.

Pesquisadores em cibersegurança identificaram uma nova vulnerabilidade em navegadores web que utilizam inteligência artificial, como o OpenAI ChatGPT Atlas. O problema, denominado ‘cloaking direcionado a IA’, permite que atacantes manipulem o conteúdo exibido para crawlers de IA, expondo-os a ataques de envenenamento de contexto. A técnica, semelhante ao cloaking de motores de busca, utiliza uma verificação simples do agente do usuário para entregar conteúdo diferente para humanos e sistemas de IA. Isso pode distorcer a percepção de autoridade e verdade, afetando milhões de usuários. A empresa SPLX, que divulgou a vulnerabilidade, alerta que essa manipulação pode ser uma arma poderosa de desinformação, comprometendo a confiança nas ferramentas de IA. Além disso, um estudo da hCaptcha Threat Analysis Group revelou que muitos navegadores tentaram executar ações maliciosas sem necessidade de jailbreak, indicando uma falta de salvaguardas adequadas. Isso levanta preocupações sobre a segurança de sistemas que dependem de IA, especialmente em um cenário onde a otimização para IA se torna cada vez mais comum.

A Microsoft lançou uma atualização de segurança para corrigir uma vulnerabilidade crítica no ASP.NET Core, identificada como CVE-2025-55315, que expõe organizações a ataques de ‘HTTP request smuggling’. Com uma pontuação CVSS 3.1 de 9.9, a gravidade da falha exige uma correção imediata em ambientes corporativos. A vulnerabilidade surge da forma como o servidor web Kestrel, parte do ASP.NET Core, processa requisições HTTP. Em determinadas condições, o servidor não valida corretamente os limites das requisições, permitindo que atacantes criem requisições maliciosas que ocultam outras requisições dentro delas. Isso pode contornar controles de segurança críticos, como autenticação e validação de entrada.

Uma vulnerabilidade de execução remota de código (RCE) não autenticada no XWiki, identificada como CVE-2025-24893, está sendo ativamente explorada por atacantes para implantar malware de mineração de criptomoedas. Essa falha, que permite a injeção de templates, possibilita a execução de código arbitrário em sistemas vulneráveis sem necessidade de autenticação, representando uma ameaça significativa para organizações que utilizam versões não corrigidas do XWiki.

A análise da VulnCheck revelou uma cadeia de ataque sofisticada em duas etapas, onde os atacantes inicialmente enviam uma solicitação GET maliciosa para um endpoint específico, que baixa um arquivo malicioso para o diretório /tmp do sistema alvo. O primeiro estágio do downloader, denominado x640, puxa scripts adicionais que estabelecem operações de mineração de criptomoedas. O segundo estágio prepara o ambiente do sistema e inicia um minerador de Monero, demonstrando práticas avançadas de segurança operacional para evitar detecções.

Recentemente, a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) e a VulnCheck alertaram sobre a exploração ativa de vulnerabilidades críticas em produtos da Dassault Systèmes, especificamente no DELMIA Apriso, e no XWiki. As falhas incluem a CVE-2025-6204, uma vulnerabilidade de injeção de código com pontuação CVSS de 8.0, e a CVE-2025-6205, uma falha de autorização ausente com pontuação de 9.1, ambas afetando versões do DELMIA Apriso de 2020 a 2025. A CVE-2025-24893, com pontuação CVSS de 9.8, permite a execução remota de código por usuários convidados no XWiki. Essas vulnerabilidades foram abordadas pela Dassault Systèmes em agosto de 2025, mas a exploração continua ativa, com tentativas de ataque relatadas desde março de 2025. Os ataques têm como alvo a instalação de mineradores de criptomoedas, utilizando um processo em duas etapas. A CISA exige que várias agências federais remedeiem as falhas até 18 de novembro de 2025. Dada a gravidade e a exploração ativa dessas vulnerabilidades, é crucial que os usuários apliquem as atualizações necessárias imediatamente.

Pesquisadores de cibersegurança da LayerX identificaram uma vulnerabilidade crítica no navegador Atlas da OpenAI, que permite a injeção de instruções maliciosas no sistema de memória do ChatGPT por meio de ataques de Cross-Site Request Forgery (CSRF). Essa falha, divulgada de forma responsável à OpenAI em 27 de outubro de 2025, representa um risco significativo para usuários que dependem da IA para codificação e gerenciamento de sistemas. O ataque se aproveita de uma fraqueza na forma como o Atlas lida com sessões autenticadas, permitindo que atacantes utilizem credenciais de autenticação de vítimas para injetar instruções ocultas na memória do ChatGPT. Uma vez comprometida, essa memória contaminada pode executar código remoto e potencialmente conceder controle sobre contas de usuários e sistemas conectados. Além disso, o navegador Atlas demonstrou deficiências alarmantes em detectar e bloquear ataques de phishing, aumentando ainda mais a vulnerabilidade dos usuários. A pesquisa revelou que apenas 6 de 103 páginas maliciosas foram bloqueadas, resultando em uma taxa de falha de 94,2%. Essa situação é particularmente preocupante, pois a memória contaminada persiste em todos os dispositivos onde o usuário acessa sua conta, dificultando a detecção e remediação do ataque.

A Apache Software Foundation divulgou duas vulnerabilidades críticas que afetam várias versões do Apache Tomcat, sendo uma delas uma falha de travessia de diretório que pode permitir a execução remota de código (RCE) em servidores vulneráveis. A vulnerabilidade mais grave, identificada como CVE-2025-55752, resulta de uma regressão introduzida ao corrigir um bug anterior. Essa falha permite que atacantes manipulem URIs de requisições através de URLs reescritas, contornando restrições de segurança que protegem diretórios sensíveis como /WEB-INF/ e /META-INF/. O risco se intensifica quando as requisições PUT estão habilitadas, permitindo o upload de arquivos maliciosos. A segunda vulnerabilidade, CVE-2025-55754, envolve a falha do Tomcat em escapar corretamente sequências de escape ANSI em mensagens de log, o que pode ser explorado para manipular a exibição do console em sistemas Windows. Ambas as vulnerabilidades afetam as versões 9, 10 e 11 do Apache Tomcat, e a Apache já lançou versões corrigidas. Administradores são aconselhados a atualizar imediatamente para evitar possíveis ataques.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta crítico sobre vulnerabilidades sérias no sistema TLS4B Automatic Tank Gauge da Veeder-Root, que podem permitir a execução de comandos de sistema por atacantes. Identificadas por pesquisadores da Bitsight, as falhas incluem uma injeção de comando (CVE-2025-58428) com uma pontuação CVSS de 9.9, que permite que atacantes remotos, utilizando credenciais válidas, executem comandos no sistema Linux subjacente. A segunda vulnerabilidade, relacionada a um estouro de inteiro (CVE-2025-55067), afeta o tratamento de valores de tempo Unix e pode causar falhas de autenticação e interrupções em funções críticas do sistema. A Veeder-Root já lançou uma versão corrigida (11.A) para a falha de injeção de comando, mas um conserto permanente para o estouro de inteiro ainda está em desenvolvimento. A CISA recomenda que as organizações atualizem imediatamente para a versão corrigida e adotem práticas de segurança de rede para minimizar a exposição à internet. Embora não haja exploração pública conhecida dessas vulnerabilidades até a data do alerta, a gravidade das falhas exige atenção urgente das organizações, especialmente no setor de energia, onde esses sistemas são amplamente utilizados.

A Microsoft implementou uma mudança significativa em suas versões do Windows 10 e 11, desabilitando a função de pré-visualização de arquivos baixados da internet. Essa decisão visa proteger os usuários de um vetor de ataque que permite o roubo de credenciais sem a necessidade de abrir um arquivo malicioso. A vulnerabilidade estava relacionada ao ‘Mark of the Web’ (MotW), que identifica arquivos baixados da internet. Ao tentar gerar uma prévia, o Windows se conectava automaticamente a servidores maliciosos, enviando hashes NTLM do usuário, que podem ser usados para autenticação em outros serviços da rede. Embora a pré-visualização possa ser reativada, a Microsoft alerta que essa ação deve ser feita com cautela, pois transfere a responsabilidade de segurança para o usuário. Essa mudança é especialmente relevante para ambientes corporativos, onde a segurança das credenciais é crucial. A nova configuração reflete uma prioridade pela segurança em detrimento da conveniência, destacando a necessidade de conscientização sobre os riscos associados a arquivos baixados.

O Windows 11 recebeu uma nova atualização no canal Dev, introduzindo a funcionalidade Proactive Memory Diagnostics, que visa aumentar a confiabilidade do sistema. Essa ferramenta notifica o usuário para realizar um diagnóstico de memória após uma falha crítica, como um bugcheck, que pode resultar em uma tela preta. O diagnóstico é realizado no próximo reinício do PC e, caso sejam encontrados problemas, o sistema tentará corrigi-los. Além disso, a atualização trouxe uma nova funcionalidade de ‘copiar e pesquisar’, que facilita a busca de textos copiados.

Pesquisadores da Kaspersky revelaram uma campanha de ciberespionagem sofisticada, chamada Operação ForumTroll, que utilizou uma vulnerabilidade zero-day do Chrome, identificada como CVE-2025-2783. Essa vulnerabilidade permitiu que atacantes contornassem as proteções de segurança do navegador ao explorar uma falha no sistema operacional Windows. A campanha visou instituições russas, incluindo meios de comunicação, universidades e organizações governamentais, através de e-mails de phishing disfarçados de convites para um fórum científico. O ataque foi acionado simplesmente ao clicar em um link malicioso, sem necessidade de interação adicional do usuário. A Kaspersky notificou o Google, que lançou patches para corrigir a falha. Além disso, a investigação revelou conexões com o spyware comercial Dante, desenvolvido pela Memento Labs, que possui capacidades avançadas de espionagem, como keylogging e execução remota de comandos. Essa situação destaca a importância de monitorar e corrigir vulnerabilidades em softwares amplamente utilizados, especialmente em um cenário de crescente ciberespionagem.

Pesquisadores de cibersegurança da NeuralTrust descobriram uma vulnerabilidade crítica no navegador Atlas da OpenAI, que permite a atacantes disfarçar instruções maliciosas como URLs legítimas, burlando os controles de segurança do sistema. A falha explora a omnibox, a barra de endereço e pesquisa combinada, manipulando a forma como o Atlas distingue entre solicitações de navegação e comandos em linguagem natural.

Os atacantes criam strings que parecem URLs válidas, mas que contêm erros sutis de formatação. Quando um usuário insere essas strings na omnibox, o Atlas não valida corretamente a URL e trata o conteúdo como um comando confiável, permitindo que instruções maliciosas sejam executadas com privilégios elevados.

A Dell Technologies revelou três vulnerabilidades críticas em seu software Storage Manager, que podem permitir que atacantes contornem autenticações, divulguem informações sensíveis e acessem sistemas de forma não autorizada. As falhas afetam versões até 20.1.21 e apresentam riscos significativos para organizações que utilizam essa ferramenta para gerenciar arrays de armazenamento. A vulnerabilidade mais severa, CVE-2025-43995, possui um escore CVSS de 9.8, permitindo que um atacante não autenticado explore APIs expostas para obter controle total sobre a infraestrutura de armazenamento. Outras falhas, como CVE-2025-43994 e CVE-2025-46425, também apresentam riscos elevados, permitindo a divulgação de informações e acesso não autorizado a arquivos sensíveis. A Dell recomenda que os clientes atualizem imediatamente para versões mais recentes do software para mitigar esses riscos. Embora não haja relatos de exploração ativa até o momento, a facilidade de acesso remoto torna a situação crítica, exigindo ações rápidas para evitar possíveis violações de segurança.

A HashiCorp revelou uma vulnerabilidade crítica no Vault e no Vault Enterprise, que permite a atacantes contornar a autenticação e realizar ataques de negação de serviço (DoS). Identificada como CVE-2025-12044, essa falha resulta de um erro na ordem de operações durante a correção de uma vulnerabilidade anterior, permitindo que a limitação de taxa ocorra após o processamento de payloads JSON. Isso significa que um atacante pode enviar repetidamente payloads JSON maliciosos, consumindo recursos do sistema sem necessidade de autenticação. O impacto pode ser severo, levando à degradação do desempenho ou até mesmo à queda total do serviço, tornando segredos inacessíveis para aplicações legítimas. A vulnerabilidade afeta versões do Vault Community Edition de 1.20.3 a 1.20.4 e do Vault Enterprise em várias versões, exigindo atualizações urgentes para versões corrigidas. A HashiCorp recomenda que as organizações avaliem sua exposição e realizem as atualizações necessárias para evitar incidentes de DoS. A descoberta foi feita por Toni Tauro da Adfinis AG, que coordenou a divulgação responsável da falha.

O cenário de cibersegurança continua a se deteriorar, com novas ameaças emergindo constantemente. Recentemente, uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287, foi explorada ativamente por cibercriminosos, permitindo a execução remota de código em sistemas afetados. Essa falha, com um CVSS de 9.8, foi corrigida pela Microsoft, mas já está sendo utilizada para implantar malware em máquinas vulneráveis.

Além disso, uma rede maliciosa no YouTube tem promovido vídeos que direcionam usuários para downloads de malware, com um aumento significativo na quantidade de vídeos desde o início do ano. Outro ataque notável é o da campanha “Dream Job”, atribuída ao grupo Lazarus da Coreia do Norte, que visa empresas do setor de defesa na Europa, enviando e-mails fraudulentos que disfarçam ofertas de emprego.

Pesquisadores de cibersegurança identificaram uma nova vulnerabilidade no navegador ChatGPT Atlas da OpenAI, que pode permitir que agentes maliciosos injetem instruções prejudiciais na memória do assistente de inteligência artificial. Essa falha, baseada em um erro de falsificação de solicitação entre sites (CSRF), possibilita que as instruções maliciosas persistam entre dispositivos e sessões, comprometendo a segurança do usuário. A memória, introduzida pela OpenAI em fevereiro de 2024, visa personalizar as interações, mas, se corrompida, pode ser utilizada para executar códigos arbitrários sem o conhecimento do usuário. A vulnerabilidade é agravada pela falta de controles robustos contra phishing no ChatGPT Atlas, tornando os usuários até 90% mais expostos em comparação com navegadores tradicionais como Google Chrome e Microsoft Edge. O ataque pode ser desencadeado por meio de engenharia social, onde o usuário é induzido a clicar em um link malicioso. Uma vez que a memória do ChatGPT é comprometida, comandos normais podem ativar a execução de códigos maliciosos, resultando em escalonamento de privilégios ou exfiltração de dados. Essa situação representa um risco significativo, pois transforma uma funcionalidade útil em uma ferramenta de ataque.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta urgente sobre a exploração ativa de uma vulnerabilidade crítica no Windows Server Update Services (WSUS), identificada como CVE-2025-59287. Essa falha permite que atacantes não autenticados executem código remotamente com privilégios de sistema em servidores vulneráveis. A Microsoft lançou uma atualização de segurança emergencial em 23 de outubro de 2025, após descobrir que um patch anterior não resolveu completamente o problema. A vulnerabilidade afeta várias versões do Windows Server, incluindo 2012, 2016, 2019, 2022 e 2025, e é especialmente perigosa para organizações que utilizam o WSUS com as portas 8530 ou 8531 abertas. Os atacantes podem obter controle total sobre os sistemas afetados, possibilitando a instalação de ransomware, roubo de dados sensíveis e criação de backdoors. A CISA recomenda que as organizações identifiquem imediatamente os servidores vulneráveis e apliquem a atualização de segurança, além de considerar medidas temporárias, como desabilitar o WSUS ou bloquear o tráfego nas portas mencionadas. A situação é crítica, e a falta de ação pode resultar em sérias consequências para a segurança das informações das empresas.

Durante a competição de hacking Pwn2Own Irlanda 2025, realizada em Cork, de 21 a 23 de outubro, a equipe Z3 decidiu não demonstrar publicamente uma vulnerabilidade crítica de execução remota de código sem clique no WhatsApp. Em vez disso, optaram por relatar a falha de forma privada à Meta, a empresa-mãe do WhatsApp, através de um processo de divulgação coordenada. Essa decisão surpreendeu os participantes, pois a exploração poderia ter rendido à equipe um prêmio recorde de US$ 1 milhão. A Zero Day Initiative (ZDI), organizadora do evento, elogiou a escolha da equipe, que priorizou a segurança dos usuários em vez de um espetáculo público. A vulnerabilidade é considerada de alto risco, pois permite que atacantes comprometam dispositivos sem qualquer interação do usuário, tornando-se uma ameaça significativa, especialmente para os três bilhões de usuários do WhatsApp. A Meta se comprometeu a reforçar a segurança do aplicativo e a ZDI concedeu um prazo de até 90 dias para que a empresa desenvolva e implemente correções antes de qualquer divulgação pública. Embora os detalhes técnicos da vulnerabilidade não tenham sido divulgados, especialistas esperam que a Meta atue rapidamente para mitigar o risco de exploração real.

Uma falha crítica de segurança nos resolvers BIND 9 foi divulgada, permitindo que atacantes envenenem caches DNS e redirecionem o tráfego da internet para destinos maliciosos. A vulnerabilidade, identificada como CVE-2025-40778, afeta mais de 706 mil instâncias expostas em todo o mundo, conforme a empresa de escaneamento de internet Censys. Com uma pontuação CVSS de 8.6, a falha resulta do tratamento excessivamente permissivo de registros de recursos não solicitados nas respostas DNS. Isso permite que atacantes injetem dados falsificados sem precisar de acesso direto à rede. O Internet Systems Consortium (ISC), responsável pelo software BIND, recomendou que os administradores apliquem patches imediatamente, uma vez que a vulnerabilidade pode impactar significativamente empresas, provedores de internet e agências governamentais que dependem de resolvers recursivos. Embora não haja relatos de exploração ativa, a liberação pública de um exploit de prova de conceito no GitHub aumenta a urgência, fornecendo um modelo para ataques direcionados. O ISC sugere que organizações que não podem atualizar imediatamente restrinjam a recursão a clientes confiáveis e monitorem o conteúdo do cache em busca de anomalias.

O navegador OpenAI Atlas, recém-lançado, foi identificado como vulnerável a um ataque de injeção de prompt, onde um prompt malicioso pode ser disfarçado como um URL aparentemente inofensivo. Segundo um relatório da NeuralTrust, o omnibox do navegador, que combina a barra de endereço e de busca, interpreta entradas como URLs ou comandos em linguagem natural. Isso permite que um atacante crie um link que, ao ser inserido, faz com que o navegador execute instruções prejudiciais. Por exemplo, um URL malformado pode redirecionar o usuário para um site controlado pelo atacante, potencialmente levando a páginas de phishing ou até comandos que excluem arquivos de aplicativos conectados, como o Google Drive. A falta de distinção rigorosa entre entradas de usuário confiáveis e conteúdo não confiável no Atlas é uma falha crítica. A situação é agravada por técnicas como o ‘AI Sidebar Spoofing’, onde extensões maliciosas podem enganar usuários a fornecer dados ou instalar malware. Embora a OpenAI tenha implementado medidas de segurança, a injeção de prompt continua a ser um problema de segurança não resolvido, exigindo atenção contínua da indústria de cibersegurança.

No dia 24 de outubro de 2025, a Microsoft divulgou atualizações de segurança fora do ciclo regular para corrigir uma vulnerabilidade crítica no Windows Server Update Service (WSUS), identificada como CVE-2025-59287, com uma pontuação CVSS de 9.8. Essa falha permite a execução remota de código e já está sendo explorada ativamente na natureza, com um exploit de prova de conceito (PoC) disponível publicamente. A vulnerabilidade resulta da desserialização insegura de dados não confiáveis, permitindo que um atacante não autenticado execute código remotamente. A Microsoft recomenda que os administradores de sistemas instalem a atualização imediatamente e realizem uma reinicialização do sistema. Como medidas temporárias, é aconselhável desativar o papel do servidor WSUS e bloquear o tráfego nas portas 8530 e 8531. A situação é crítica, pois o Centro Nacional de Segurança Cibernética da Holanda relatou que a exploração da vulnerabilidade foi observada no mesmo dia do anúncio. A CISA dos EUA também incluiu essa falha em seu catálogo de vulnerabilidades exploradas, exigindo que agências federais a remediem até 14 de novembro de 2025.

A Microsoft lançou um patch de segurança crítico para corrigir uma vulnerabilidade grave de execução remota de código (RCE) no Windows Server Update Services (WSUS), identificada como CVE-2025-59287. Essa falha representa uma ameaça imediata para organizações que gerenciam atualizações do Windows em sua infraestrutura, com uma pontuação máxima de 9.8 no CVSS, o que a classifica como crítica. A vulnerabilidade se origina na forma como o WSUS lida com a desserialização de dados não confiáveis, permitindo que atacantes executem código arbitrário sem necessidade de autenticação ou interação do usuário. Um invasor com acesso à rede de um servidor WSUS pode executar comandos com os mesmos privilégios da conta de serviço do WSUS, comprometendo completamente a infraestrutura de atualização e potencialmente afetando milhares de sistemas conectados. Dada a facilidade de exploração e o alto impacto, a Microsoft recomenda que as organizações apliquem o patch imediatamente e revisem a topologia de implantação do WSUS para limitar o alcance de possíveis ataques. A situação exige atenção urgente de administradores de sistemas e equipes de segurança de TI em todo o mundo.

Uma vulnerabilidade crítica na forma como o Microsoft Teams armazena dados de autenticação expôs organizações a um novo tipo de ataque. Pesquisadores de segurança descobriram que atacantes podem roubar tokens de acesso das instalações do Teams, permitindo-lhes ler conversas privadas, e-mails e documentos confidenciais sem precisar das senhas dos usuários. O ataque é particularmente preocupante, pois uma vez que um invasor ganha acesso inicial ao computador de um funcionário, ele pode extrair tokens de autenticação já armazenados no disco. Esses tokens funcionam como passes permanentes para os serviços da Microsoft, permitindo que os atacantes se façam passar por usuários legítimos e acessem todo o espaço de trabalho digital. O método de ataque se aproveita da forma como o Teams criptografa seus dados de autenticação, onde a chave de criptografia é armazenada em texto simples. Uma vez que os atacantes obtêm um token de acesso roubado, eles podem interagir diretamente com a API do Microsoft Graph, acessando conversas do Teams, lendo e enviando e-mails e navegando em documentos compartilhados. Para mitigar esses riscos, as empresas devem implementar soluções de detecção e resposta em endpoints e educar os funcionários sobre segurança de dispositivos.

Pesquisadores de cibersegurança, Ben R. e Georgi G., da Interrupt Labs, revelaram uma vulnerabilidade crítica no Samsung Galaxy S25 durante o evento Pwn2Own Ireland 2025. A falha, uma vulnerabilidade 0-Day, permite que atacantes ativem remotamente a câmera do dispositivo e rastreiem a localização do usuário sem seu consentimento. O problema foi identificado como uma falha de validação de entrada no software do Galaxy S25, que possibilitou a execução de código arbitrário. Essa vulnerabilidade destaca as lacunas de segurança que ainda existem em smartphones Android de ponta, mesmo após rigorosos testes de qualidade. Os pesquisadores foram recompensados com US$ 50.000 e 5 pontos no Master of Pwn por sua descoberta. A Samsung foi notificada sobre a vulnerabilidade e, embora ainda não tenha emitido um comunicado oficial, é esperado que um patch de segurança seja lançado em breve. Enquanto isso, os usuários devem habilitar atualizações automáticas e evitar aplicativos não confiáveis, uma vez que essa falha pode ser explorada para comprometer dados pessoais e privacidade.

A Microsoft implementou uma atualização de segurança no Windows File Explorer a partir de 14 de outubro de 2025, que desativa automaticamente o painel de pré-visualização para arquivos baixados. Essa medida visa mitigar uma vulnerabilidade que poderia expor hashes NTLM, credenciais sensíveis usadas na autenticação em redes. O vetor de ataque envolve a pré-visualização de arquivos maliciosos que incorporam elementos HTML, permitindo que solicitações de rede não autorizadas sejam disparadas em segundo plano. Com a nova atualização, arquivos de fontes não confiáveis são marcados com o atributo ‘Mark of the Web’, impedindo a pré-visualização e exibindo um aviso ao usuário. Embora a maioria dos usuários não sinta um impacto significativo, a proteção é ativada automaticamente, priorizando a segurança sem comprometer a usabilidade. Para arquivos confiáveis, os usuários podem facilmente reverter a proteção. Essa mudança é especialmente benéfica para ambientes corporativos, onde a segurança é crucial, reduzindo a superfície de ataque e promovendo hábitos de segurança mais seguros. A atualização é um passo importante na luta contra o roubo de credenciais, mantendo os sistemas Windows mais resilientes frente a ameaças cibernéticas.

Recentemente, duas novas vulnerabilidades foram descobertas nos roteadores TP-Link, especificamente nos modelos Omada e Festa VPN. As falhas, identificadas como CVE-2025-7850 e CVE-2025-7851, foram reveladas por pesquisadores da Forescout’s Vedere Labs e estão ligadas a problemas de segurança no firmware da empresa. A CVE-2025-7851 permite o acesso root devido a um código de depuração residual que não foi completamente removido após uma atualização anterior. Já a CVE-2025-7850 permite a injeção de comandos do sistema operacional através da interface VPN WireGuard, possibilitando a execução remota de código como usuário root. A exploração de uma vulnerabilidade facilita a ativação da outra, criando um caminho para o controle total do dispositivo. Os pesquisadores alertam que, em algumas configurações, a CVE-2025-7850 pode ser explorada remotamente sem autenticação, transformando a configuração da VPN em um ponto de entrada para atacantes. Além disso, a equipe de pesquisa identificou 15 falhas adicionais em outros dispositivos TP-Link, que devem ser corrigidas até o início de 2026. A recomendação é que os usuários atualizem o firmware assim que as correções forem disponibilizadas e monitorem os logs de rede em busca de sinais de exploração.

A Atlassian revelou uma vulnerabilidade crítica de travessia de caminho no Jira Software Data Center e Server, identificada como CVE-2025-22167. Essa falha permite que atacantes autenticados modifiquem arquivos acessíveis ao processo da Máquina Virtual Java (JVM) do Jira, apresentando um risco significativo para organizações que utilizam essa plataforma para gerenciamento de projetos e rastreamento de problemas. Com uma pontuação CVSS de 8.7, a vulnerabilidade pode comprometer a integridade do sistema, permitindo que arquivos críticos, como arquivos de configuração e dados de aplicação, sejam alterados. A falha é especialmente preocupante em ambientes multi-inquilinos, onde várias organizações compartilham a mesma instância do Jira. A Atlassian já lançou patches para corrigir a vulnerabilidade, e as organizações afetadas devem priorizar a atualização imediata para as versões mais recentes. As versões vulneráveis incluem a 9.12.0 e outras variantes, com recomendações específicas de atualização para cada ramo de versão. A transparência da Atlassian em divulgar essa falha oferece às organizações tempo suficiente para aplicar as correções antes que a exploração ocorra.

Uma vulnerabilidade crítica, identificada como CVE-2025-54236 e chamada de SessionReaper, está sendo explorada ativamente por hackers em plataformas de comércio eletrônico como Adobe Commerce e Magento. Essa falha permite a execução remota de código e a tomada de controle de contas de clientes em milhares de lojas online. Detectada pela primeira vez em 22 de outubro de 2025, a vulnerabilidade combina uma sessão maliciosa com um bug de desserialização na API REST do Magento, permitindo que atacantes façam upload de backdoors PHP disfarçados. Apesar de um patch de emergência ter sido lançado pela Adobe em 9 de setembro, a adoção do mesmo foi lenta, com menos de 40% das lojas afetadas aplicando a correção até a data da descoberta. A situação é agravada pelo fato de que a Adobe inicialmente minimizou a gravidade da vulnerabilidade em seu aviso oficial. Com 62% das lojas ainda sem correção, a ameaça continua a evoluir, exigindo ações imediatas por parte dos administradores de sistemas para evitar compromissos.

Pesquisadores de segurança da Brave descobriram uma vulnerabilidade crítica no navegador Comet da Perplexity, que permite a injeção de comandos maliciosos por meio de texto oculto em capturas de tela. Essa falha explora a esteganografia para esconder instruções perigosas em conteúdos da web. Ao tirar uma captura de tela de uma página comprometida, o navegador utiliza tecnologia de reconhecimento óptico de caracteres (OCR) para extrair todo o texto, incluindo os comandos maliciosos ocultos. O problema crítico é que essas instruções são enviadas diretamente para o sistema de IA sem qualquer filtragem, permitindo que atacantes manipulem o navegador para realizar ações não autorizadas. As consequências para os usuários são graves, especialmente para aqueles que mantêm sessões ativas em contas sensíveis, pois um ataque bem-sucedido pode resultar em acesso não autorizado a contas bancárias, roubo de e-mails e comprometimento de sistemas corporativos. Os pesquisadores da Brave relataram a vulnerabilidade à Perplexity em 1º de outubro de 2025, dando tempo para a empresa corrigir o problema antes da divulgação pública. Até que medidas de segurança adequadas sejam implementadas, os especialistas recomendam que os usuários evitem manter contas sensíveis logadas ao usar recursos de navegação do Comet.

Pesquisadores de segurança da GitGuardian identificaram uma vulnerabilidade crítica de travessia de caminho na plataforma Smithery.ai, que hospeda servidores do Modelo de Protocolo de Contexto (MCP). Essa falha expôs mais de 3.000 servidores de IA e comprometeu milhares de chaves de API. A vulnerabilidade foi causada por um erro de configuração no processo de construção do servidor da Smithery, permitindo que atacantes especificassem locais arbitrários do sistema de arquivos como contexto de construção do Docker. Ao explorar essa falha, os pesquisadores conseguiram acessar arquivos sensíveis, incluindo credenciais de autenticação do Docker, que estavam severamente sobreprivilegiadas. Isso possibilitou a execução de código arbitrário em servidores comprometidos e a captura de tráfego de rede, expondo chaves de API e tokens de autenticação de milhares de clientes. A vulnerabilidade representa um cenário clássico de ataque à cadeia de suprimentos, onde a exploração de uma única plataforma confiável pode resultar em violações que afetam diversas organizações. A Smithery respondeu rapidamente à divulgação da vulnerabilidade, implementando correções em menos de 48 horas, sem evidências de exploração antes do patch.

Pesquisas de segurança da Trail of Bits revelam que agentes de inteligência artificial modernos estão vulneráveis a ataques de injeção de argumentos, permitindo a execução remota de código (RCE). Essa vulnerabilidade explora uma falha arquitetônica fundamental na forma como esses agentes lidam com a execução de comandos do sistema. Ao utilizar utilitários de linha de comando como find, grep e git, os sistemas se tornam mais rápidos, mas também expõem uma superfície de ataque perigosa quando a entrada do usuário influencia os parâmetros dos comandos.

Uma vulnerabilidade crítica, conhecida como TARmageddon (CVE-2025-62518), foi descoberta na biblioteca async-tar do Rust e em seus forks, como o tokio-tar. Com uma classificação de severidade de 8.1 (alta), essa falha permite que atacantes executem código remotamente ao sobrescrever arquivos de configuração e sequestrar backends de construção através de arquivos TAR aninhados cuidadosamente elaborados. A equipe de segurança Edera identificou que a vulnerabilidade afeta projetos importantes nos ecossistemas Python e de desenvolvimento web, incluindo o gerenciador de pacotes uv da Astral e o testcontainers. O tokio-tar, que já acumulou mais de 5 milhões de downloads, representa um grande risco para seus usuários, especialmente porque parece estar descontinuado e não recebe mais manutenção. A falha se origina de um erro de desincronização na forma como o parser lida com arquivos TAR aninhados, permitindo que um atacante crie um arquivo TAR que contenha arquivos legítimos na camada externa e cargas maliciosas ocultas na interna. A Edera lançou patches que priorizam cabeçalhos PAX sobre cabeçalhos ustar e recomendou que os desenvolvedores atualizem para versões corrigidas. Para organizações que não podem aplicar patches imediatamente, alternativas incluem a migração para a crate tar padrão ou a implementação de mitigação em tempo de execução.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha de segurança crítica no Motex Lanscope Endpoint Manager em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A vulnerabilidade, identificada como CVE-2025-61932, possui uma pontuação CVSS v4 de 9.3 e afeta versões locais do Lanscope, especificamente o programa Cliente e o Agente de Detecção. Essa falha permite que atacantes executem código arbitrário em sistemas vulneráveis ao enviar pacotes especialmente elaborados. A CISA recomenda que as agências do Federal Civilian Executive Branch (FCEB) remedeiem essa vulnerabilidade até 12 de novembro de 2025, a fim de proteger suas redes. Embora ainda não se saiba como a vulnerabilidade está sendo explorada em ataques reais, o portal japonês Japan Vulnerability Notes (JVN) informou que um cliente da Motex recebeu um pacote malicioso suspeito de visar essa falha. As versões afetadas são as 9.4.7.1 e anteriores, enquanto as versões corrigidas incluem a 9.4.6.3.

A empresa de segurança cibernética Sansec alertou que criminosos cibernéticos começaram a explorar uma vulnerabilidade crítica recentemente divulgada nas plataformas Adobe Commerce e Magento Open Source. A falha, identificada como CVE-2025-54236, possui uma pontuação CVSS de 9.1 e permite a tomada de controle de contas de clientes através da API REST do Commerce. Desde a divulgação pública da vulnerabilidade, mais de 250 tentativas de ataque foram registradas em apenas 24 horas, com 62% das lojas Magento ainda vulneráveis. Os ataques têm origem em diversos endereços IP, onde os invasores utilizam a falha para implantar webshells PHP ou extrair informações de configuração do PHP. A Sansec recomenda que os administradores de sites apliquem os patches disponíveis o mais rápido possível para evitar a exploração mais ampla da vulnerabilidade. Essa é a segunda falha de desserialização crítica que afeta as plataformas Adobe Commerce e Magento em dois anos, o que destaca a necessidade urgente de atenção e ação por parte dos administradores de sistemas.

Cibercriminosos têm explorado uma vulnerabilidade no ToolShell do Microsoft SharePoint, identificada como CVE-2025-53770, para invadir instituições governamentais em diversos continentes. Apesar de um patch ter sido lançado em julho de 2025 para corrigir a falha, ataques foram registrados em agências de telecomunicações no Oriente Médio, departamentos governamentais na África, agências estatais na América do Sul e uma universidade nos Estados Unidos. A vulnerabilidade permitia burlar a autenticação e executar códigos remotamente, sendo utilizada em conjunto com outras falhas, como CVE-2025-49704 e CVE-2025-49706, por grupos hackers chineses. Esses grupos, como Linen Typhoon e Violet Typhoon, têm utilizado malwares zero-day para realizar suas invasões. Além disso, técnicas de evasão de DLL foram empregadas para entregar malwares em servidores SQL e Apache HTTP. Os ataques visam roubar credenciais e garantir acesso persistente aos sistemas das vítimas, sugerindo um interesse em espionagem. A situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos de segurança.

Uma investigação realizada pelo Varonis Threat Labs revelou uma vulnerabilidade crítica que permitiu a hackers criar aplicativos maliciosos no Azure utilizando nomes reservados da Microsoft. Ao contornar as salvaguardas, os atacantes conseguiram registrar nomes enganosos, como ‘Azure Portal’, induzindo os usuários a conceder permissões perigosas. Essa falha possibilitou que cibercriminosos obtivessem acesso inicial, mantivessem persistência e escalassem privilégios em ambientes Microsoft 365, expondo organizações a riscos de perda de dados e danos à reputação.

O GitLab divulgou atualizações críticas para suas edições Community (CE) e Enterprise (EE) visando corrigir várias vulnerabilidades que podem ser exploradas para provocar ataques de negação de serviço (DoS). As versões 18.5.1, 18.4.3 e 18.3.5 incluem correções essenciais que devem ser aplicadas imediatamente em todas as instalações autogeridas. As falhas identificadas incluem controle de acesso inadequado na API do runner, DoS na coleta de eventos, validação de JSON e pontos de upload. Essas vulnerabilidades permitem que usuários não autenticados sobrecarreguem APIs e rotinas de validação, resultando em uso excessivo de recursos. Além disso, um erro de autorização na construção de pipelines pode permitir a execução não autorizada de jobs. O GitLab já implementou as correções em sua plataforma hospedada, e os clientes dedicados não precisam tomar nenhuma ação. A atualização é crucial para manter a disponibilidade e a segurança dos dados dos projetos. A empresa recomenda que todas as instalações afetadas atualizem para as versões mais recentes o mais rápido possível, já que a falta de ação pode resultar em interrupções significativas nos serviços.

A Oracle revelou duas vulnerabilidades críticas em seu produto Marketing do E-Business Suite, identificadas como CVE-2025-53072 e CVE-2025-62481. Ambas as falhas afetam o componente de Administração de Marketing e possuem uma pontuação CVSS de 9.8, indicando um alto nível de severidade. Essas vulnerabilidades permitem que atacantes remotos não autenticados obtenham controle total sobre o módulo de Marketing da Oracle, comprometendo a confidencialidade, integridade e disponibilidade dos dados. A exploração dessas falhas não requer privilégios especiais ou interação do usuário, tornando-as particularmente perigosas. As versões afetadas vão de 12.2.3 a 12.2.14, e a Oracle recomenda a aplicação imediata de patches de segurança disponíveis. Além disso, especialistas sugerem a segmentação de rede e a implementação de firewalls de aplicação web para mitigar riscos. O aumento de ataques à cadeia de suprimentos, como os recentes incidentes com Cisco e Microsoft, destaca a urgência em proteger sistemas que gerenciam dados sensíveis de clientes, especialmente em setores como varejo e finanças, onde a conformidade com regulamentos como LGPD é crucial.

Recentemente, grupos de ameaças ligados à China exploraram a vulnerabilidade ToolShell no Microsoft SharePoint para invadir uma empresa de telecomunicações no Oriente Médio, após a falha ter sido divulgada e corrigida em julho de 2025. Além da telecomunicação, alvos incluíram departamentos governamentais em um país africano, agências governamentais na América do Sul, uma universidade nos EUA e uma empresa de finanças na Europa. A vulnerabilidade CVE-2025-53770 permitiu a execução remota de código e foi utilizada por diversos grupos, como Linen Typhoon e Violet Typhoon, além do Salt Typhoon, que implementaram ferramentas como Zingdoor e ShadowPad. Os ataques também envolveram a exploração de servidores SQL e Apache, utilizando técnicas de side-loading de DLLs. A análise da Symantec indica que os atacantes estavam interessados em roubar credenciais e estabelecer acesso persistente às redes das vítimas, sugerindo um objetivo de espionagem. A situação destaca a necessidade de vigilância contínua e atualização de sistemas para mitigar riscos semelhantes.

O primeiro dia do Pwn2Own Ireland 2025 foi marcado por um sucesso notável, com pesquisadores de segurança demonstrando 34 vulnerabilidades zero-day em dispositivos de consumo, totalizando ganhos de $522.500. A competição, que visa identificar falhas de segurança em produtos reais, teve uma taxa de sucesso de 100%, sem tentativas falhas. As equipes focaram em dispositivos como impressoras, dispositivos de casa inteligente e sistemas de armazenamento conectados à rede. A equipe DDOS se destacou ao explorar oito vulnerabilidades em um roteador e um dispositivo de armazenamento QNAP, arrecadando $100.000. Outras equipes também conseguiram explorar dispositivos populares, como o Philips Hue Bridge e impressoras da Canon e HP. As metodologias de ataque incluíram estouros de buffer, injeções de comando e bypass de autenticação. Com mais dois dias de competição pela frente, espera-se que o total de prêmios aumente significativamente. As vulnerabilidades descobertas serão divulgadas de forma responsável aos fabricantes para correção, melhorando a segurança de milhões de usuários de dispositivos de consumo em todo o mundo.