Vulnerabilidade

Uma nova vulnerabilidade de segurança, identificada como CVE-2026-42945, afeta as versões do NGINX Plus e NGINX Open, com um alto índice de severidade de 9.2 no CVSS. Essa falha, que se trata de um estouro de buffer na memória, permite que atacantes não autenticados possam causar a queda de processos de trabalho ou até executar código remotamente, especialmente em sistemas onde a proteção Address Space Layout Randomization (ASLR) está desativada. A vulnerabilidade foi introduzida em 2008 e, embora a exploração para execução de código remoto (RCE) não seja trivial em configurações padrão, a possibilidade de causar uma negação de serviço (DoS) é considerada uma preocupação urgente. Pesquisadores de segurança já detectaram tentativas de exploração ativas, e recomenda-se que os usuários apliquem as correções mais recentes da F5 para proteger suas redes. Além disso, foram identificadas falhas críticas em openDCIM, que também estão sendo exploradas, destacando a necessidade de atenção redobrada em relação à segurança de aplicações e infraestrutura.

Uma vulnerabilidade crítica no plugin Funnel Builder para WordPress está sendo ativamente explorada para injetar código JavaScript malicioso nas páginas de checkout do WooCommerce, com o objetivo de roubar dados de pagamento. A falha afeta todas as versões do plugin anteriores à 3.15.0.3 e é utilizada em mais de 40.000 lojas WooCommerce. A vulnerabilidade permite que atacantes não autenticados injetem JavaScript arbitrário em cada página de checkout, disfarçando o código malicioso como scripts de análise do Google Tag Manager. Isso resulta na instalação de um skimmer de pagamento que captura números de cartões de crédito, CVVs e endereços de cobrança dos usuários durante a finalização da compra. A empresa responsável pelo plugin, FunnelKit, já lançou um patch para corrigir a falha. Os proprietários de sites são aconselhados a atualizar o plugin e revisar as configurações de scripts externos para remover qualquer código suspeito. A situação é alarmante, pois a injeção de código malicioso em plataformas amplamente utilizadas pode ter um impacto significativo na segurança das transações online.

Pesquisadores de segurança descobriram uma falha crítica nos cortadores de grama robóticos Yarbo, que estão expostos online com senhas idênticas de administrador. Essa vulnerabilidade permite que hackers acessem remotamente os dispositivos, controlando suas lâminas e coletando informações sensíveis, como endereços de e-mail e senhas de Wi-Fi. O pesquisador Andreas Makris demonstrou a gravidade do problema ao acessar um cortador de 90 kg em Nova York, mostrando que um invasor pode espionar famílias e potencialmente ativar as lâminas do robô. Os cortadores, que operam em mais de 30 países, utilizam sistemas Linux e estão conectados à internet, funcionando como computadores expostos. Apesar das atualizações de firmware, a falha persiste, pois os dispositivos são redefinidos para as mesmas senhas fracas. A Yarbo, com sede em Nova York e origem na China, reconheceu as falhas e implementou algumas medidas de segurança, mas críticos apontam que a empresa ainda mantém um acesso remoto interno, o que levanta preocupações sobre a segurança de dispositivos inteligentes em geral.

Durante o segundo dia da competição Pwn2Own Berlin 2026, realizada entre 14 e 16 de maio, os participantes arrecadaram $385,750 ao explorar 15 vulnerabilidades zero-day em produtos como Windows 11, Microsoft Exchange e Red Hat Enterprise Linux. O evento, que ocorre na conferência OffensiveCon, foca em tecnologias empresariais e inteligência artificial. Os pesquisadores de segurança podem ganhar prêmios que ultrapassam $1,000,000 ao comprometer produtos totalmente atualizados em diversas categorias, incluindo aplicações empresariais e ambientes de nuvem.

Uma vulnerabilidade crítica no plugin Funnel Builder para WordPress está sendo explorada ativamente para injetar trechos de JavaScript malicioso nas páginas de checkout do WooCommerce. Essa falha, que não possui um identificador oficial, pode ser utilizada sem autenticação e afeta todas as versões do plugin anteriores à 3.15.0.3. O Funnel Builder, desenvolvido pela FunnelKit, é amplamente utilizado em mais de 40.000 sites para personalizar páginas de checkout. A empresa de segurança cibernética Sansec detectou que a carga maliciosa se disfarça como um script do Google Tag Manager/Google Analytics, estabelecendo uma conexão WebSocket com um servidor externo. Um atacante pode explorar essa vulnerabilidade para modificar as configurações globais do plugin, permitindo a injeção de JavaScript arbitrário nas configurações de “Scripts Externos”, resultando na execução de código malicioso em todas as páginas de checkout. Essa técnica permite que os criminosos roubem informações sensíveis, como números de cartões de crédito e endereços de cobrança. A FunnelKit lançou uma atualização para corrigir a vulnerabilidade, recomendando que os administradores de sites atualizem imediatamente para a versão mais recente e verifiquem possíveis scripts maliciosos nas configurações do plugin.

A Microsoft anunciou uma atualização para o navegador Edge, visando melhorar a segurança ao evitar que senhas salvas sejam carregadas em texto claro na memória do processo durante a inicialização. Essa mudança ocorre após a revelação de um problema por Tom Jøran Sønstebyseter Rønning, que demonstrou que as credenciais armazenadas no gerenciador de senhas do Edge eram descriptografadas no lançamento e mantidas na memória, mesmo quando não estavam em uso. Rønning também apresentou uma ferramenta de prova de conceito (PoC) que permitia a atacantes com privilégios de administrador extrair senhas de outros usuários. Em resposta, a Microsoft inicialmente defendeu que esse comportamento era ‘intencional’, mas agora se comprometeu a implementar mudanças em todas as versões suportadas do Edge, priorizando a redução da exposição de senhas na memória. Essa atualização já está disponível no canal Canary do Edge e será incluída nas próximas versões. A empresa também destacou um compromisso contínuo com a segurança, incluindo a proteção contra extensões maliciosas e a restrição do modo Internet Explorer do Edge após a exploração de vulnerabilidades. Essa atualização é um passo importante na proteção dos dados dos usuários e na mitigação de riscos de segurança.

Duas vulnerabilidades críticas foram identificadas no plugin Avada Builder para WordPress, que possui cerca de um milhão de instalações ativas. A primeira, identificada como CVE-2026-4782, permite que usuários autenticados com nível de acesso de assinante leiam arquivos arbitrários no servidor, incluindo o wp-config.php, que contém credenciais sensíveis do banco de dados. A segunda vulnerabilidade, CVE-2026-4798, é uma injeção SQL que pode ser explorada por atacantes não autenticados, desde que o plugin WooCommerce tenha sido ativado e depois desativado. Essa falha permite a extração de informações sensíveis do banco de dados, como hashes de senhas. Ambas as vulnerabilidades foram descobertas pelo pesquisador de segurança Rafie Muhammad e reportadas ao programa de recompensas da Wordfence. A atualização para a versão 3.15.3 do Avada Builder é altamente recomendada para mitigar esses riscos. O impacto potencial é significativo, pois a exploração dessas falhas pode levar a um comprometimento total do site, afetando a segurança e a privacidade dos dados dos usuários.

Pesquisadores de cibersegurança revelaram quatro vulnerabilidades no OpenClaw, um sistema amplamente utilizado, que podem ser exploradas em cadeia para roubo de dados, escalonamento de privilégios e persistência maliciosa. As falhas, identificadas como CVE-2026-44112, CVE-2026-44113, CVE-2026-44115 e CVE-2026-44118, apresentam pontuações de severidade que variam de 7.7 a 9.6, indicando um alto risco de exploração.

A CVE-2026-44112, por exemplo, permite que atacantes contornem restrições de sandbox, enquanto a CVE-2026-44115 possibilita a execução de comandos não autorizados. A exploração dessas vulnerabilidades pode permitir que um invasor obtenha controle total sobre o ambiente, expondo dados sensíveis e configurando backdoors. A empresa Cyera destacou que a exploração dessas falhas pode parecer comportamento normal do agente, dificultando a detecção por controles tradicionais.

Na quinta-feira, a Microsoft divulgou mitigação para uma vulnerabilidade de alta severidade no Exchange Server, identificada como CVE-2026-42897. Essa falha de segurança, que afeta as versões mais recentes do Exchange Server 2016, 2019 e Subscription Edition, permite que atacantes executem código arbitrário por meio de um ataque de cross-site scripting (XSS) direcionado a usuários do Outlook na web. Embora ainda não existam patches disponíveis, a Microsoft recomenda a ativação do Exchange Emergency Mitigation Service (EEMS), que oferece mitigação automática para servidores on-premises. A vulnerabilidade pode ser explorada ao enviar um e-mail especialmente elaborado para um usuário, que, ao abrir o e-mail no Outlook Web Access, pode ter JavaScript malicioso executado em seu navegador. É importante ressaltar que a aplicação das medidas de mitigação pode causar problemas, como a não exibição correta de imagens e a funcionalidade de impressão do calendário. A Microsoft planeja lançar patches para as versões afetadas, mas estes estarão disponíveis apenas para clientes que participam do programa de suporte estendido. A situação é crítica, especialmente considerando que a CISA e a NSA já emitiram orientações para proteger servidores Exchange contra ataques.

A Microsoft divulgou uma nova vulnerabilidade de segurança que afeta as versões locais do Exchange Server, identificada como CVE-2026-42897, com uma pontuação CVSS de 8.1. Este problema, classificado como um bug de spoofing decorrente de uma falha de cross-site scripting, permite que atacantes não autorizados executem código JavaScript arbitrário no contexto do navegador ao enviar um e-mail malicioso. A vulnerabilidade já está sendo explorada ativamente, e a Microsoft recomenda que os usuários apliquem mitigação imediata através do Exchange Emergency Mitigation Service, que reescreve URLs automaticamente. As versões afetadas incluem Exchange Server 2016, 2019 e Subscription Edition, enquanto o Exchange Online não é impactado. Para aqueles que não podem usar o serviço de mitigação automática, a Microsoft disponibilizou um Mitigation Tool (EOMT) que deve ser aplicado manualmente. A empresa também está ciente de um problema conhecido onde a ferramenta pode indicar que a mitigação é inválida, mas assegura que a aplicação é bem-sucedida se o status mostrar ‘Applied’. Embora não haja informações sobre a identidade dos atacantes ou a escala das explorações, é crucial que as organizações adotem as medidas recomendadas para se protegerem.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma nova vulnerabilidade crítica no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando o Cisco Catalyst SD-WAN Controller. A falha, identificada como CVE-2026-20182, permite que atacantes remotos não autenticados contornem a autenticação e obtenham privilégios administrativos no sistema. Com uma pontuação de 10.0 no sistema CVSS, a vulnerabilidade é considerada de máxima gravidade. A Cisco alertou que a exploração ativa dessa falha está ligada a um grupo de ameaças identificado como UAT-8616, que também está por trás da exploração de outras vulnerabilidades relacionadas. Os atacantes têm utilizado códigos de exploração disponíveis publicamente para implantar shells web, permitindo a execução de comandos arbitrários. A CISA exige que as agências do governo federal dos EUA remediem a vulnerabilidade até 17 de maio de 2026. Dada a gravidade da situação, a Cisco recomenda que os clientes sigam as orientações para proteger seus ambientes.

No primeiro dia do Pwn2Own Berlin 2026, pesquisadores de segurança arrecadaram impressionantes $523,000 em prêmios ao explorar 24 vulnerabilidades zero-day. O destaque do dia foi a apresentação de Orange Tsai, que recebeu $175,000 por escapar de um sandbox no Microsoft Edge ao combinar quatro falhas lógicas. Além disso, o Windows 11 foi comprometido três vezes, com pesquisadores como Angelboy e TwinkleStar03, Marcin Wiązowski e Kentaro Kawane, cada um recebendo $30,000 por novas falhas de escalonamento de privilégios. Valentina Palmiotti, da IBM X-Force, também se destacou, arrecadando $70,000 por explorar vulnerabilidades no Red Hat Linux e no NVIDIA Container Toolkit. O evento, que ocorre entre 14 e 16 de maio, foca em tecnologias empresariais e inteligência artificial, e os participantes têm a chance de ganhar mais de $1,000,000 em prêmios ao explorar produtos amplamente utilizados, como Microsoft SharePoint e Apple Safari. Após a competição, os fornecedores têm 90 dias para corrigir as falhas descobertas. O evento ressalta a importância da segurança cibernética em um cenário onde novas vulnerabilidades são constantemente descobertas e exploradas.

A Cisco alertou sobre uma falha crítica de bypass de autenticação no Catalyst SD-WAN Controller, identificada como CVE-2026-20182, que está sendo ativamente explorada em ataques zero-day. Com uma gravidade máxima de 10.0, a vulnerabilidade afeta tanto o Cisco Catalyst SD-WAN Controller quanto o Cisco Catalyst SD-WAN Manager em implementações locais e na nuvem. A falha se origina de um mecanismo de autenticação de peering que não funciona corretamente, permitindo que atacantes enviem requisições manipuladas para obter privilégios administrativos. Uma vez explorada, a vulnerabilidade permite que o invasor acesse o sistema como um usuário interno de alto privilégio, podendo manipular a configuração da rede SD-WAN. A Cisco detectou a exploração da falha em maio, mas não divulgou detalhes sobre os métodos utilizados. A empresa recomenda que os administradores verifiquem os logs do SD-WAN Controller em busca de eventos de peering não autorizados e restrinjam o acesso às interfaces de gerenciamento. A CISA incluiu a CVE-2026-20182 no catálogo de vulnerabilidades conhecidas e ordenou que agências federais atualizassem os dispositivos afetados até 17 de maio de 2026.

Hackers estão explorando uma vulnerabilidade crítica de bypass de autenticação no plugin Burst Statistics do WordPress, que permite acesso administrativo a sites. Este plugin, focado em privacidade, está ativo em aproximadamente 200 mil sites WordPress e é uma alternativa leve ao Google Analytics. A falha, identificada como CVE-2026-8181, foi introduzida na versão 3.4.0 do plugin, lançada em 23 de abril, e também está presente na versão 3.4.1. A vulnerabilidade permite que atacantes não autenticados se façam passar por usuários administradores conhecidos durante requisições da API REST, podendo até criar contas de administrador fraudulentas. O problema decorre da interpretação incorreta dos resultados da função ‘wp_authenticate_application_password()’, que trata um erro como uma autenticação bem-sucedida. A Wordfence, que descobriu a falha, já bloqueou mais de 7.400 tentativas de ataque em 24 horas. Os usuários do plugin são aconselhados a atualizar para a versão 3.4.2 ou desativar o plugin, pois cerca de 115 mil sites ainda estão vulneráveis a ataques de tomada de conta administrativa.

A Cisco divulgou atualizações para corrigir uma falha de autenticação crítica no Catalyst SD-WAN Controller, identificada como CVE-2026-20182, que possui uma pontuação CVSS de 10.0. Essa vulnerabilidade permite que um atacante remoto não autenticado contorne a autenticação e obtenha privilégios administrativos no sistema afetado. O problema está relacionado ao mecanismo de autenticação de peering, que pode ser explorado através do envio de requisições manipuladas. A exploração bem-sucedida da falha permite que o invasor acesse o sistema como um usuário interno de alto privilégio, possibilitando a manipulação da configuração da rede SD-WAN. A vulnerabilidade afeta diversas implementações, incluindo a Cisco SD-WAN Cloud e a versão para governo (FedRAMP). A Cisco alertou sobre a exploração limitada da falha em maio de 2026 e recomendou que os clientes apliquem as atualizações imediatamente, especialmente aqueles que têm sistemas expostos à internet. Além disso, a empresa sugere que os clientes auditem logs de autenticação para identificar acessos não autorizados.

Uma falha de segurança de 18 anos no servidor web de código aberto NGINX, identificada por um sistema de varredura autônomo, pode ser explorada para causar negação de serviço e, em certas condições, execução remota de código. A vulnerabilidade, rastreada como CVE-2026-42945, recebeu uma classificação de severidade crítica de 9,2 no sistema CVSS. A falha, um estouro de buffer na heap no módulo ngx_http_rewrite_module, afeta versões do NGINX de 0.6.27 a 1.30.0. O problema ocorre quando as configurações do NGINX utilizam as diretivas ‘rewrite’ e ‘set’, uma prática comum em gateways de API e configurações de proxy reverso. Pesquisadores demonstraram que a exploração pode ser realizada através de requisições HTTP especialmente elaboradas, levando à execução de código não autenticado. Embora a execução remota de código tenha sido demonstrada em um ambiente sem proteção ASLR, a exploração em sistemas com ASLR habilitado é considerada complexa. Outras três falhas de segurança de gravidade média também foram descobertas. A F5, empresa que mantém o NGINX, já disponibilizou correções para as versões afetadas, e recomenda que os usuários atualizem ou modifiquem suas regras de reescrita para mitigar os riscos.

Recentemente, uma vulnerabilidade crítica foi identificada no PraisonAI, um framework de orquestração multi-agente de código aberto. A falha, classificada como CVE-2026-44338, possui um escore CVSS de 7.3 e se refere à falta de autenticação, permitindo que qualquer pessoa acesse endpoints sensíveis sem a necessidade de um token. O servidor API legado, baseado em Flask, vem com a autenticação desativada por padrão, expondo funcionalidades protegidas. A exploração dessa vulnerabilidade pode resultar em enumeração não autenticada do arquivo de agentes e ativação de fluxos de trabalho configurados, além de consumo indevido de quotas de modelo/API. A falha afeta todas as versões do pacote Python do PraisonAI, com correção disponível na versão 4.6.34. A Sysdig, empresa de segurança em nuvem, relatou que tentativas de exploração foram observadas apenas quatro horas após a divulgação pública da vulnerabilidade, destacando a rapidez com que atores maliciosos estão adotando novas falhas. Os usuários são aconselhados a aplicar as correções imediatamente, auditar implantações existentes e revisar atividades suspeitas relacionadas ao uso do PraisonAI.

O cenário de cibersegurança continua alarmante, com uma série de vulnerabilidades e ataques sendo reportados. A Palo Alto Networks divulgou correções para uma falha crítica (CVE-2026-0300) no serviço User-ID Authentication Portal do PAN-OS, que permite a execução de código arbitrário por atacantes não autenticados. Além disso, uma empresa de tecnologia de defesa expôs dados sensíveis devido a falhas de autorização em suas APIs. Em outra frente, a Meta lançou o Incognito Chat, prometendo privacidade nas interações com IA. O relatório também destaca campanhas de phishing patrocinadas por estados, como a Operation GriefLure, que visa setores estratégicos no Vietnã e nas Filipinas, e a Operation HumanitarianBait, que utiliza temas de ajuda humanitária para enganar usuários. A nova técnica GhostLock permite que usuários com acesso limitado bloqueiem arquivos, causando interrupções semelhantes a ataques de ransomware. O artigo enfatiza a necessidade urgente de ações corretivas e vigilância contínua para mitigar esses riscos.

Recentemente, distribuições Linux começaram a lançar patches para uma nova vulnerabilidade de alta severidade, conhecida como Fragnasia (CVE-2026-46300). Essa falha de segurança, descoberta por William Bowling, permite que atacantes locais não privilegiados executem código malicioso com privilégios de root, explorando um erro lógico no subsistema XFRM ESP-in-TCP do Linux. O ataque é realizado através da escrita de bytes arbitrários no cache de página do kernel de arquivos somente leitura, sem a necessidade de condições de corrida. Bowling também revelou um exploit de prova de conceito que corrompe a memória do cache de página do binário /usr/bin/su, possibilitando acesso root em sistemas vulneráveis. A vulnerabilidade Fragnasia pertence à classe de vulnerabilidades Dirty Frag, que afeta todos os kernels Linux lançados antes de 13 de maio de 2026. Para mitigar os riscos, os usuários do Linux são aconselhados a aplicar atualizações de kernel imediatamente. Caso não consigam, devem remover módulos vulneráveis, embora isso possa impactar sistemas de arquivos distribuídos e VPNs IPsec. A divulgação da Fragnasia ocorre em um momento em que outras vulnerabilidades, como a Copy Fail, também estão sendo exploradas ativamente, aumentando a urgência para que as organizações atualizem suas defesas.

A Dell confirmou que seu software SupportAssist está provocando falhas de tela azul em alguns sistemas Windows, após um aumento de relatos de reinicializações aleatórias em dispositivos Dell. O SupportAssist é uma suíte de software desenvolvida pela Dell, pré-instalada na maioria dos novos computadores Dell que operam com Windows 10 ou Windows 11. Um representante da Dell informou que a atualização mais recente do serviço de Remediação do SupportAssist é a responsável pelos erros 0xEF_DellSupportAss_BUGCHECK_CRITICAL_PROCESS, recomendando que os usuários removam o serviço para resolver os problemas. A versão 5.5.16.0 do serviço de Remediação está causando as telas azuis, e a Dell sugere desativar ou desinstalar o aplicativo como solução temporária. Contudo, é importante ressaltar que pontos de recuperação do sistema criados pelo Dell OS SupportAssist Recovery podem não estar disponíveis após a desinstalação. A empresa também alertou que, caso os problemas persistam após a remoção do serviço, os usuários devem entrar em contato com o suporte. Este não é o primeiro incidente desse tipo, já que atualizações anteriores do software da Dell também causaram problemas significativos, incluindo falhas de inicialização em diversos modelos de laptops e desktops.

Uma nova variante da vulnerabilidade Dirty Frag, chamada Fragnesia, foi identificada no núcleo do Linux, permitindo que atacantes locais não privilegiados obtenham acesso root. Classificada como CVE-2026-46300, a vulnerabilidade apresenta um CVSS de 7.8 e está relacionada ao subsistema XFRM ESP-in-TCP do kernel. Descoberta por William Bowling da equipe de segurança V12, a falha permite a modificação de conteúdos de arquivos somente leitura na cache de página do kernel, utilizando uma lógica defeituosa que não requer condições de corrida. A Fragnesia é semelhante a outras vulnerabilidades recentes, como Copy Fail e Dirty Frag, e já possui um exploit de prova de conceito disponível. Várias distribuições Linux, incluindo Amazon Linux e Red Hat Enterprise Linux, emitiram avisos sobre a necessidade de aplicar patches. Embora não tenha sido observada exploração ativa até o momento, especialistas recomendam que usuários e organizações apliquem as correções imediatamente. Medidas de mitigação incluem desabilitar funcionalidades relacionadas ao IPsec e aumentar a vigilância sobre atividades anormais de escalonamento de privilégios.

Um pesquisador anônimo de cibersegurança revelou duas novas vulnerabilidades no Microsoft Defender, conhecidas como YellowKey e GreenPlasma. A primeira, YellowKey, permite a contornagem do BitLocker, funcionando como uma porta dos fundos, e afeta o Windows 11 e Windows Server 2022/2025. O exploit se dá através da manipulação de arquivos ‘FsTx’ em um drive USB, permitindo que um invasor acesse um shell de comando com o BitLocker desbloqueado. O pesquisador destacou que a falha está oculta e que medidas como TPM+PIN não são eficazes. A segunda vulnerabilidade, GreenPlasma, refere-se a uma escalada de privilégios no Windows CTFMON, permitindo que usuários não privilegiados criem objetos de seção de memória arbitrários, potencialmente manipulando serviços ou drivers privilegiados. Essas falhas surgem em um contexto onde o pesquisador já havia denunciado outras vulnerabilidades que foram exploradas ativamente. A Microsoft, por sua vez, afirmou que investiga as questões de segurança reportadas, mas a resposta tem sido criticada por sua lentidão e falta de transparência.

Pesquisadores de cibersegurança revelaram múltiplas vulnerabilidades que afetam o NGINX Plus e o NGINX Open Source, incluindo uma falha crítica que permaneceu oculta por 18 anos. A vulnerabilidade, identificada como CVE-2026-42945, é um problema de estouro de buffer na pilha que pode permitir a execução remota de código ou causar uma negação de serviço (DoS) através de requisições maliciosas. Essa falha, conhecida como NGINX Rift, pode ser explorada por atacantes não autenticados, tornando-a especialmente perigosa. Além disso, três outras vulnerabilidades foram corrigidas, com pontuações CVSS variando de 6.3 a 8.3, afetando módulos como ngx_http_scgi_module e ngx_http_ssl_module. As versões afetadas foram corrigidas em atualizações lançadas após a divulgação responsável em 21 de abril de 2026. Os usuários são aconselhados a atualizar para as versões mais recentes ou, se não puderem, modificar a configuração de reescrita para mitigar o risco. Essa situação destaca a importância de manter sistemas atualizados e monitorar vulnerabilidades conhecidas.

Uma vulnerabilidade crítica, identificada como CVE-2026-45185, afeta configurações específicas do Exim, um agente de transferência de e-mail open-source amplamente utilizado em servidores Linux e Unix. Essa falha, que impacta versões do Exim anteriores à 4.99.3 que utilizam a biblioteca GNU Transport Layer Security (GnuTLS), pode ser explorada por atacantes remotos não autenticados para executar código arbitrário. O problema é um erro do tipo user-after-free (UAF) que ocorre durante o encerramento do TLS ao lidar com tráfego SMTP chunked. O Exim libera um buffer de transferência TLS, mas continua a usar referências de callback obsoletas, permitindo que dados sejam escritos em uma região de memória liberada, o que pode levar à execução remota de código (RCE). A vulnerabilidade foi descoberta pelo pesquisador Federico Kirschbaum da XBOW, que relatou o problema aos mantenedores do Exim em 1º de maio, recebendo confirmação em 5 de maio. Uma correção foi disponibilizada na versão 4.99.3 do Exim. Os usuários de distribuições Linux baseadas em Ubuntu e Debian são aconselhados a aplicar as atualizações disponíveis para mitigar os riscos associados a essa falha.

O relatório M-Trends 2026 da Mandiant revela que, apesar de uma visibilidade sem precedentes nas operações de segurança, as equipes estão lutando para garantir que as correções aplicadas realmente resolvam as vulnerabilidades. O tempo médio para exploração de falhas é estimado em menos de sete dias, enquanto o tempo médio para remediar vulnerabilidades em dispositivos de borda é de 32 dias, segundo o DBIR 2025 da Verizon. A crescente dependência de inteligência artificial (IA) na exploração de vulnerabilidades torna a remediação mais crítica, pois muitos patches podem ser contornáveis ou dependentes de comportamentos específicos dos atacantes. A falta de validação após a aplicação de correções pode levar a uma falsa sensação de segurança. O artigo destaca a importância da revalidação das correções, propondo que cada remediação deve ser testada para garantir que o risco original foi eliminado, e não apenas a via de ataque inicial. A automação e a consolidação de descobertas são necessárias, mas não suficientes; é crucial que as organizações desenvolvam um fluxo de trabalho que integre a validação pós-correção para garantir a eficácia das ações de segurança.

A Microsoft anunciou a correção de um bug no Windows Autopatch que permitiu a instalação de atualizações de drivers em dispositivos gerenciados, mesmo quando políticas administrativas exigiam aprovação manual. O problema afetou um número limitado de dispositivos com Windows 11 (versões 25H2, 24H2 e 23H2) na União Europeia, resultando em comportamentos inesperados, como reinicializações e, em alguns casos, falhas no sistema. A empresa informou que a correção foi feita por meio de uma atualização do lado do serviço, sem necessidade de ação por parte dos usuários. Este incidente segue uma série de problemas recentes, incluindo um upgrade não autorizado de servidores Windows e dificuldades na instalação do Office em dispositivos Windows 365. A Microsoft enfatizou que a situação foi resolvida e que os clientes não precisam realizar atualizações adicionais para corrigir o problema.

A Microsoft anunciou a resolução de um problema que fazia com que alguns sistemas Windows 11 entrassem no modo de recuperação do BitLocker após a instalação das atualizações de segurança de abril de 2026. O BitLocker é um recurso de segurança que criptografa unidades de armazenamento para proteger dados contra roubo. O problema, que também afetou dispositivos com Windows 10 e Windows Server, foi reconhecido pela Microsoft em 14 de abril e estava relacionado a uma configuração de Política de Grupo do BitLocker considerada ’não recomendada’. A empresa informou que, após a instalação da atualização, alguns dispositivos poderiam exigir a chave de recuperação do BitLocker no primeiro reinício. A correção foi disponibilizada apenas para sistemas Windows 11 25H2, enquanto os usuários de Windows 10 e Windows Server ainda aguardam uma solução. A Microsoft aconselhou administradores de TI a remover a configuração de Política de Grupo que poderia causar o problema antes de aplicar as atualizações de abril de 2026. Este incidente destaca a importância de manter as configurações de segurança adequadas para evitar interrupções no acesso a dados críticos.

Um pesquisador de cibersegurança, conhecido como Chaotic Eclipse, divulgou exploits de prova de conceito (PoC) para duas vulnerabilidades não corrigidas do Microsoft Windows, chamadas YellowKey e GreenPlasma. A vulnerabilidade YellowKey é um bypass do BitLocker, que permite acesso não autorizado a volumes protegidos, enquanto GreenPlasma é uma falha de escalonamento de privilégios que pode conceder permissões de sistema a usuários não privilegiados. O pesquisador alega que a vulnerabilidade YellowKey funciona como uma porta dos fundos, pois está presente apenas no Ambiente de Recuperação do Windows (WinRE). A divulgação pública dessas falhas foi motivada pela insatisfação com a forma como a Microsoft lida com relatórios de bugs. Chaotic Eclipse prometeu continuar vazando exploits para vulnerabilidades não documentadas, levantando preocupações sobre a segurança dos sistemas Windows, especialmente no Brasil, onde muitas empresas utilizam essas tecnologias. A Microsoft, por sua vez, afirmou estar comprometida em investigar problemas de segurança reportados e atualizar dispositivos afetados rapidamente.

Na última terça-feira, a Microsoft lançou atualizações para 138 vulnerabilidades de segurança em seu portfólio de produtos. Dentre essas falhas, 30 foram classificadas como Críticas e 104 como Importantes. A maioria das vulnerabilidades está relacionada a elevações de privilégio e execução remota de código. Um dos destaques é a CVE-2026-41096, uma falha de buffer overflow que pode permitir que atacantes não autorizados executem código remotamente em sistemas Windows. Além disso, a Microsoft corrigiu vulnerabilidades críticas em serviços como Azure DevOps e Microsoft Dynamics 365, que podem expor informações sensíveis e permitir a execução de código malicioso. A empresa também enfatizou a importância de atualizar os certificados de Secure Boot antes da expiração em junho de 2026, para evitar falhas de segurança. A crescente descoberta de vulnerabilidades, impulsionada por abordagens de inteligência artificial, sugere que o volume de correções deve aumentar nos próximos meses. Com mais de 500 CVEs corrigidos em 2026 até agora, a situação exige atenção constante das organizações para mitigar riscos potenciais.

A Microsoft apresentou o MDASH, um novo sistema de inteligência artificial (IA) projetado para facilitar a descoberta e remediação de vulnerabilidades em larga escala. O MDASH, que significa multi-model agentic scanning harness, utiliza mais de 100 agentes de IA especializados para identificar, validar e comprovar falhas exploráveis em códigos complexos, como o Windows. Diferente de abordagens de modelo único, o sistema orquestra uma série de agentes que atuam em diferentes etapas do processo, desde a análise do código-fonte até a validação das descobertas. Recentemente, o MDASH foi testado e conseguiu identificar 16 vulnerabilidades que foram corrigidas na atualização de Patch Tuesday deste mês, incluindo duas falhas críticas que poderiam permitir a execução remota de código. A iniciativa da Microsoft segue o lançamento de outros projetos de IA voltados para a cibersegurança, destacando a crescente importância da IA na defesa contra ameaças cibernéticas. O impacto estratégico é significativo, pois a descoberta de vulnerabilidades por IA passou de uma curiosidade de pesquisa para uma defesa em escala empresarial, com um foco em sistemas de agentes ao invés de modelos isolados.

A Fortinet divulgou atualizações de segurança para corrigir duas vulnerabilidades críticas em seus produtos FortiSandbox e FortiAuthenticator, que podem permitir que atacantes executem comandos ou códigos arbitrários em sistemas não corrigidos. A primeira vulnerabilidade, identificada como CVE-2026-44277, afeta a solução de Gerenciamento de Identidade e Acesso (IAM) FortiAuthenticator, permitindo que um atacante não autenticado execute código não autorizado por meio de requisições manipuladas. Essa falha foi corrigida nas versões 6.5.7, 6.6.9 e 8.0.3 do FortiAuthenticator. A segunda vulnerabilidade, CVE-2026-26083, refere-se ao FortiSandbox e pode ser explorada para execução remota de código em sistemas vulneráveis, permitindo que atacantes não autenticados executem comandos não autorizados via requisições HTTP. Embora a Fortinet não tenha indicado que essas falhas estejam sendo ativamente exploradas, a empresa tem um histórico de vulnerabilidades que são frequentemente utilizadas em ataques de ransomware e espionagem cibernética. A CISA, agência de segurança cibernética dos EUA, já adicionou 24 vulnerabilidades da Fortinet ao seu catálogo de falhas ativamente exploradas nos últimos anos, destacando a necessidade de atenção e ação imediata por parte das organizações.

A Microsoft lançou a atualização de segurança KB5087544 para o Windows 10, visando corrigir vulnerabilidades identificadas durante o Patch Tuesday de maio de 2026. Esta atualização é aplicável para usuários do Windows 10 Enterprise LTSC e aqueles que participam do programa ESU. Após a instalação, a versão do Windows 10 será atualizada para a build 19045.7291, enquanto o Windows 10 Enterprise LTSC 2021 será atualizado para a build 19044.7291.

O foco principal da KB5087544 é a correção de 120 vulnerabilidades, incluindo um problema conhecido relacionado ao aviso de segurança do Remote Desktop, que poderia ser exibido incorretamente em configurações de múltiplos monitores. Além disso, a atualização melhora o relatório dinâmico do status do Secure Boot e inclui ajustes para o horário de verão no Egito. A Microsoft também alertou sobre um problema que pode solicitar a chave de recuperação do BitLocker após a instalação de atualizações recentes, afetando sistemas com uma configuração específica de Política de Grupo do BitLocker. Para contornar esse problema, a empresa recomenda a remoção da configuração afetada e a suspensão e retomada do BitLocker.

A Exim, um agente de transferência de e-mail de código aberto, lançou atualizações de segurança para corrigir uma vulnerabilidade crítica, identificada como CVE-2026-45185, também conhecida como Dead.Letter. Essa falha, classificada como uma vulnerabilidade de uso após liberação (use-after-free), afeta versões do Exim entre 4.97 e 4.99.2 que utilizam a biblioteca GnuTLS. O problema ocorre durante o processamento de mensagens BDAT quando um cliente envia um alerta de fechamento TLS antes da conclusão da transferência do corpo da mensagem, resultando em corrupção de memória e potencial execução de código malicioso. O especialista Federico Kirschbaum, do XBOW, destacou que a exploração dessa vulnerabilidade requer pouca configuração especial no servidor. A Exim já lançou a versão 4.99.3, que corrige a falha, e recomenda que todos os usuários atualizem imediatamente, pois não há mitigações disponíveis. Essa não é a primeira vez que falhas críticas são descobertas no Exim, levantando preocupações sobre a segurança contínua do software.

A SAP lançou atualizações de segurança em maio de 2026 que corrigem 15 vulnerabilidades em diversos produtos, incluindo duas falhas críticas no Commerce Cloud e no S/4HANA. A primeira falha crítica, identificada como CVE-2026-34263, permite que atacantes não autenticados executem código em servidores vulneráveis devido a uma configuração inadequada do Spring Security. Isso pode resultar em uma execução arbitrária de código, comprometendo a confidencialidade, integridade e disponibilidade da aplicação. A segunda vulnerabilidade crítica, CVE-2026-34260, permite que atacantes com privilégios básicos injetem comandos SQL maliciosos, o que pode levar ao acesso não autorizado a informações sensíveis do banco de dados e até mesmo à queda da aplicação. Além dessas falhas críticas, a SAP também corrigiu uma falha de alta severidade e 11 problemas de severidade média, incluindo injeção de comandos e XSS. Embora a SAP não tenha encontrado evidências de exploração ativa dessas vulnerabilidades, a CISA já adicionou 14 falhas de segurança da SAP ao seu catálogo de vulnerabilidades conhecidas exploradas. A empresa, que é a maior fornecedora de software empresarial do mundo, atende a 99 das 100 maiores empresas globais, destacando a importância de uma resposta rápida a essas vulnerabilidades.

A OpenAI anunciou o lançamento do Daybreak, uma nova iniciativa de cibersegurança que combina capacidades avançadas de inteligência artificial (IA) com o Codex Security. O objetivo é ajudar organizações a identificar e corrigir vulnerabilidades antes que atacantes possam explorá-las. A plataforma permite que os defensores integrem revisões de código seguro, modelagem de ameaças e validação de patches no ciclo de desenvolvimento de software, aumentando a resiliência desde o início. O Daybreak utiliza três modelos de IA, incluindo o GPT-5.5, que possui salvaguardas para uso geral e versões específicas para trabalho defensivo e testes de penetração. A iniciativa já conta com a colaboração de grandes empresas como Akamai, Cisco e Cloudflare, que estão integrando essas capacidades em suas operações. O uso de ferramentas de IA tem acelerado a descoberta de problemas de segurança, mas também gerado um fenômeno conhecido como ‘fadiga de triagem’, onde mantenedores de projetos enfrentam um volume crescente de relatórios de vulnerabilidades, alguns dos quais podem ser falsos positivos gerados por IA. A discussão sobre a eficácia do prazo de divulgação de 90 dias para vulnerabilidades também foi levantada, dado que a velocidade de identificação e exploração de falhas tem diminuído esse intervalo.

Recentemente, especialistas propuseram a implementação de um mecanismo de ‘killswitch’ no kernel Linux, que permitiria desativar temporariamente funções vulneráveis em tempo de execução. Essa proposta surge em resposta a falhas críticas como Copy Fail e Dirty Frag, que expõem sistemas a riscos elevados. O ‘killswitch’ seria acessível através da interface securityfs, permitindo que administradores desabilitem funções problemáticas rapidamente, evitando que vulnerabilidades causem danos significativos até que correções adequadas sejam disponibilizadas. Embora a ideia apresente um potencial de mitigação, ela não resolve os problemas subjacentes e pode causar instabilidade no sistema. A proposta está atualmente em revisão pela comunidade Linux e não deve ser vista como um substituto para o patching adequado. A adoção dessa funcionalidade pode ser um recurso útil para prevenir a escalada de problemas de segurança enquanto as correções são desenvolvidas.

Pesquisadores do Google Threat Intelligence Group (GTIG) relataram que um exploit de zero-day, que visa uma popular ferramenta de administração web de código aberto, foi provavelmente gerado com o auxílio de inteligência artificial (IA). Este exploit poderia contornar a proteção de autenticação de dois fatores (2FA) do sistema, que não foi nomeado. Embora o ataque tenha sido frustrado antes de uma exploração em massa, o incidente destaca a crescente dependência de atores maliciosos em ferramentas de IA para descobrir e explorar vulnerabilidades. A análise do código do exploit, escrito em Python, sugere que um modelo de linguagem de grande porte (LLM) foi utilizado, evidenciado pela presença de docstrings educacionais e um formato estruturado típico de dados de treinamento de LLMs. Além disso, o tipo de falha explorada é uma lógica semântica de alto nível, que sistemas de IA são particularmente bons em identificar. O Google também observou que grupos de hackers da China e da Coreia do Norte têm utilizado modelos de IA para desenvolvimento de exploits, enquanto atores ligados à Rússia têm empregado código gerado por IA para ofuscar malware. O relatório alerta que os atores de ameaças estão industrializando o acesso a modelos de IA premium, utilizando infraestrutura automatizada para criação de contas e proxies.

Os resets de senha são uma resposta comum a suspeitas de comprometimento de contas, mas não resolvem completamente o problema em ambientes de Active Directory (AD) e Entra ID. Após um reset, as credenciais antigas podem permanecer válidas por um curto período, permitindo que atacantes mantenham acesso. Isso ocorre devido ao cache local de hashes de senha nos sistemas Windows e a possíveis atrasos na sincronização de senhas em ambientes híbridos. Existem três estados possíveis após um reset: o usuário logou com a nova senha, não logou em um dispositivo específico ou a nova senha ainda não foi sincronizada. Os atacantes podem explorar essas lacunas utilizando técnicas como pass-the-hash e mantendo sessões ativas com tickets Kerberos válidos. Para mitigar esses riscos, é crucial invalidar sessões ativas, revisar permissões e rotacionar senhas de contas de serviço. A implementação de soluções como o Specops uReset pode ajudar a garantir que os resets de senha sejam mais seguros e eficazes, reduzindo a exposição a ataques. A segurança das senhas no AD é vital, considerando que 44,7% das violações de dados envolvem credenciais roubadas, segundo o relatório da Verizon.

O Google anunciou a descoberta de um ator de ameaças desconhecido utilizando um exploit de zero-day, supostamente desenvolvido com um sistema de inteligência artificial (IA). Esta é a primeira vez que a tecnologia é empregada em um contexto malicioso para a descoberta e geração de exploits. A operação, descrita como uma “operação de exploração de vulnerabilidades em massa”, envolveu a colaboração de grupos de cibercrime. O exploit, que permite contornar a autenticação de dois fatores (2FA) em uma ferramenta de administração de sistemas web de código aberto, foi implementado em um script Python. O Google trabalhou com o fornecedor afetado para divulgar a falha de forma responsável e garantir sua correção. Embora não haja evidências de que o Google Gemini tenha sido usado, a análise sugere que um modelo de IA foi instrumental na descoberta da vulnerabilidade. Além disso, a IA está acelerando a descoberta de vulnerabilidades e permitindo o desenvolvimento de malware polimórfico, como o PromptSpy, que pode monitorar atividades do usuário e capturar dados biométricos. O uso de IA por grupos de ameaças, incluindo grupos ligados à China e à Coreia do Norte, tem se intensificado, levantando preocupações sobre a segurança cibernética em um cenário global cada vez mais complexo.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no framework open-source Ollama, que permite a execução local de grandes modelos de linguagem. A falha, identificada como CVE-2026-7482, possui um CVSS de 9.1 e pode afetar mais de 300.000 servidores globalmente. A vulnerabilidade é um erro de leitura fora dos limites que permite a um atacante remoto e não autenticado vazar toda a memória do processo do Ollama. O problema se origina do uso do pacote ‘unsafe’ na criação de modelos a partir de arquivos GGUF, permitindo que um arquivo malicioso provoque a leitura de dados sensíveis, como variáveis de ambiente e chaves de API. Além disso, duas falhas não corrigidas no mecanismo de atualização do Ollama para Windows podem permitir a execução de código persistente. Os usuários são aconselhados a aplicar correções, limitar o acesso à rede e implementar um proxy de autenticação. A situação é crítica, pois pode comprometer informações sensíveis de organizações que utilizam o Ollama.

O cPanel anunciou a liberação de atualizações para corrigir três vulnerabilidades significativas em seu software e no Web Host Manager (WHM). As falhas, identificadas como CVE-2026-29201, CVE-2026-29202 e CVE-2026-29203, podem ser exploradas para escalonamento de privilégios, execução de código e negação de serviço. A primeira vulnerabilidade (CVE-2026-29201) apresenta uma pontuação CVSS de 4.3 e envolve uma validação insuficiente de entrada, permitindo a leitura de arquivos arbitrários. As outras duas falhas (CVE-2026-29202 e CVE-2026-29203) têm uma pontuação CVSS de 8.8 e permitem a execução de código Perl arbitrário e a manipulação de permissões de arquivos, respectivamente, o que pode levar a negação de serviço ou escalonamento de privilégios. As versões afetadas incluem cPanel e WHM a partir de 11.136.0.9 e outras versões anteriores. Embora não haja evidências de exploração ativa, a divulgação ocorre após a identificação de outra falha crítica que foi utilizada por agentes de ameaças. Os usuários são aconselhados a atualizar para as versões mais recentes para garantir a proteção adequada.

A Mozilla anunciou que, com o auxílio do modelo de IA Mythos da Anthropic, conseguiu identificar e corrigir 423 falhas de segurança no navegador Firefox em apenas um mês. O Mythos é descrito como um modelo de ’nova fronteira’ que pode revolucionar a cibersegurança, sendo capaz de detectar vulnerabilidades zero-day em sistemas operacionais e navegadores. A eficácia do Mythos se deve a duas inovações principais: a melhoria das ferramentas de IA e um ‘harness’ desenvolvido pela Mozilla, que permite que o modelo analise o código do Firefox sem gerar os ‘falsos positivos’ comuns em ferramentas de fuzzing anteriores. Durante o processo, o Mythos conseguiu identificar vulnerabilidades que estavam presentes por até 20 anos, que normalmente levariam semanas para serem descobertas por métodos tradicionais. No entanto, a Mozilla ressalta que o Mythos não é uma solução mágica e requer supervisão humana para operar em larga escala, evidenciando a importância da colaboração entre tecnologia e expertise humana na cibersegurança.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta para que agências federais corrijam uma vulnerabilidade de alta severidade no Ivanti Endpoint Manager Mobile (EPMM), identificada como CVE-2026-6973. Essa falha permite que atacantes com privilégios administrativos executem código arbitrário remotamente em sistemas que utilizam versões do EPMM 12.8.0.0 e anteriores. A Ivanti recomendou a atualização para as versões 12.6.1.1, 12.7.0.1 e 12.8.0.1, além de revisar e rotacionar credenciais de contas administrativas. Embora a exploração da vulnerabilidade tenha sido limitada até o momento, a CISA alertou que esse tipo de falha é um vetor comum para ataques cibernéticos maliciosos, representando riscos significativos para a segurança das agências federais. A Ivanti já havia corrigido outras falhas críticas em janeiro, e a CISA reiterou a importância de ações rápidas para mitigar riscos. A Shadowserver, organização de segurança sem fins lucrativos, identificou mais de 800 dispositivos EPMM expostos online, mas não há informações sobre quantos já foram corrigidos. O prazo para a correção é até a meia-noite de domingo, 10 de maio.

Uma nova vulnerabilidade zero-day no Linux, chamada Dirty Frag, foi descoberta, permitindo que atacantes locais obtenham privilégios de root em diversas distribuições Linux com um único comando. O pesquisador de segurança Hyunwoo Kim revelou a falha, que foi introduzida há cerca de nove anos na interface algif_aead do kernel Linux. A Dirty Frag explora duas vulnerabilidades do kernel: a vulnerabilidade de gravação em cache de página xfrm-ESP e a vulnerabilidade de gravação em cache de página RxRPC, permitindo a modificação de arquivos do sistema protegidos na memória sem autorização. Essa falha é semelhante às vulnerabilidades Dirty Pipe e Copy Fail, mas utiliza um campo de fragmento de uma estrutura de dados diferente do kernel. Kim destacou que, ao contrário de outras vulnerabilidades, a Dirty Frag não depende de condições de corrida, o que aumenta sua taxa de sucesso. Até o momento, a vulnerabilidade não possui um ID CVE e afeta várias distribuições populares, como Ubuntu, Red Hat, CentOS e Fedora, que ainda não receberam patches. Para mitigar os riscos, os usuários do Linux podem desativar os módulos do kernel vulneráveis, embora isso possa quebrar VPNs IPsec e sistemas de arquivos distribuídos AFS. A descoberta ocorre em um momento em que as distribuições Linux ainda estão implementando correções para a vulnerabilidade Copy Fail, que também permite escalonamento de privilégios de root.

Uma nova vulnerabilidade de escalonamento de privilégios local (LPE) chamada Dirty Frag foi identificada no kernel Linux, afetando diversas distribuições populares, como Ubuntu, RHEL e Fedora. Essa falha, que ainda não possui um identificador CVE, permite que usuários não privilegiados obtenham acesso root ao explorar duas vulnerabilidades existentes: xfrm-ESP Page-Cache Write e RxRPC Page-Cache Write. A primeira foi introduzida em 2017 e a segunda em 2023, e juntas formam uma cadeia que pode ser explorada em diferentes ambientes. A vulnerabilidade é considerada de alta gravidade, com um CVSS score de 7.8, e sua exploração não depende de condições de corrida, o que aumenta a taxa de sucesso do ataque. A urgência é acentuada pela divulgação de um proof-of-concept (PoC) que permite a exploração em um único comando. Enquanto os patches não estão disponíveis, recomenda-se bloquear os módulos esp4, esp6 e rxrpc para mitigar o risco. A Dirty Frag representa uma ameaça significativa, pois pode ser explorada independentemente da ativação do módulo algif_aead, que é uma mitigação conhecida para outra vulnerabilidade, Copy Fail.

A Ivanti emitiu um alerta sobre uma nova vulnerabilidade de alta severidade, identificada como CVE-2026-6973, que afeta o Endpoint Manager Mobile (EPMM) em versões anteriores a 12.6.1.1, 12.7.0.1 e 12.8.0.1. Essa falha, que possui um score CVSS de 7.2, permite que um usuário autenticado com acesso administrativo execute código remotamente. A empresa informou que, até o momento, há um número muito limitado de clientes que foram explorados devido a essa vulnerabilidade. A exploração bem-sucedida requer autenticação de administrador, e a Ivanti recomenda que os clientes que seguiram suas orientações anteriores sobre a rotação de credenciais estão em menor risco. Além da CVE-2026-6973, a Ivanti também corrigiu outras quatro vulnerabilidades no EPMM, com scores CVSS variando de 7.0 a 8.9, que incluem problemas de controle de acesso e validação de certificados. A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) adicionou essa falha ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas, exigindo que as agências federais apliquem as correções até 10 de maio de 2026. A Ivanti esclareceu que as falhas afetam apenas o produto EPMM on-premises e não impactam suas soluções baseadas em nuvem.

O GrapheneOS, uma distribuição alternativa do Android focada em privacidade, lançou uma atualização para corrigir uma falha de segurança no Android 16, que permite que aplicativos comuns vazem dados fora de um túnel VPN ativo. Essa vulnerabilidade, conhecida como ‘Tiny UDP Cannon’, foi descoberta por um pesquisador de segurança e classificada pela equipe de segurança do Android do Google como ‘Não será corrigida’. O problema reside em uma funcionalidade do Android que não verifica se um aplicativo deve estar restrito a uma conexão VPN, permitindo que dados sejam enviados pela conexão padrão de internet. Embora a exploração exija que um aplicativo malicioso já esteja instalado no dispositivo, a falha representa um risco significativo para usuários que dependem de configurações de privacidade rigorosas, como o ‘Always-On VPN’. O GrapheneOS desativou a funcionalidade vulnerável, eliminando a superfície de ataque, mas isso pode resultar em uma leve perda de eficiência na rede. Para usuários do Android padrão, a solução temporária envolve desativar a função manualmente, mas isso não é permanente. A situação destaca a importância de manter aplicativos atualizados e de usar VPNs confiáveis, mesmo com a vulnerabilidade existente.

A Palo Alto Networks revelou que atores de ameaças tentaram explorar uma vulnerabilidade crítica, identificada como CVE-2026-0300, no serviço User-ID Authentication Portal do software PAN-OS. Essa falha, com uma pontuação CVSS de 9.3/8.7, permite que um atacante não autenticado execute código arbitrário com privilégios de root ao enviar pacotes especialmente elaborados. Embora as correções estejam previstas para serem lançadas em 13 de maio de 2026, a empresa recomenda que os clientes restrinjam o acesso ao portal ou o desativem caso não esteja em uso. A Palo Alto Networks também observou tentativas de exploração limitadas desde 9 de abril de 2026, e um grupo de ameaças, identificado como CL-STA-1132, está sendo investigado por sua possível ligação com atividades de espionagem cibernética patrocinadas por estados. Os atacantes conseguiram injetar shellcode em um processo do nginx e realizar atividades pós-exploração, como enumeração do Active Directory e a instalação de malwares adicionais. A dependência de ferramentas de código aberto pelos atacantes dificultou a detecção baseada em assinaturas, permitindo que suas atividades permanecessem abaixo dos limiares de alerta da maioria dos sistemas automatizados.

A Palo Alto Networks alertou seus clientes sobre a exploração de uma vulnerabilidade crítica em seus firewalls PAN-OS, identificada como CVE-2026-0300. Essa falha de execução remota de código foi descoberta no Portal de Autenticação User-ID do PAN-OS e permite que atacantes não autenticados executem código arbitrário com privilégios de root em firewalls PA-Series e VM-Series expostos à Internet. Desde 9 de abril de 2026, foram registradas tentativas de exploração, culminando em um ataque bem-sucedido uma semana depois, onde os invasores conseguiram injetar shellcode e realizar limpeza de logs para evitar detecções. Os atacantes utilizaram ferramentas de tunelamento como Earthworm e ReverseSocks5 para estabelecer comunicação clandestina. A Palo Alto Networks informou que está trabalhando em patches, com a expectativa de que as primeiras correções sejam disponibilizadas em 13 de maio. Enquanto isso, a empresa recomenda que os clientes restrinjam o acesso ao Portal de Autenticação ou o desativem, se necessário. A CISA dos EUA também incluiu essa vulnerabilidade em seu catálogo de vulnerabilidades exploradas conhecidas, exigindo que agências federais tomem medidas imediatas para proteger seus dispositivos vulneráveis.

Recentemente, foram reveladas doze vulnerabilidades críticas na biblioteca vm2 do Node.js, que podem ser exploradas por atacantes para escapar do sandbox e executar código arbitrário em sistemas vulneráveis. A biblioteca vm2 é amplamente utilizada para executar código JavaScript não confiável em um ambiente seguro, mas as falhas de segurança identificadas, como CVE-2026-24118 e CVE-2026-43997, apresentam riscos significativos. As vulnerabilidades têm pontuações de severidade elevadas, com várias delas atingindo 9.8 ou 10 no CVSS, indicando um risco crítico. As versões afetadas incluem até a 3.10.5, e os desenvolvedores são aconselhados a atualizar para a versão 3.11.2 para garantir a proteção adequada. A complexidade de isolar de forma segura o código não confiável em ambientes de sandbox JavaScript é um desafio reconhecido, e novas falhas podem ser descobertas no futuro. A atualização imediata é essencial para mitigar os riscos associados a essas vulnerabilidades.