Vulnerabilidade

Recentemente, a equipe da XBOW teve acesso antecipado ao Mythos Preview, um novo modelo de inteligência artificial desenvolvido pela Anthropic, que promete uma evolução significativa na identificação de vulnerabilidades em códigos-fonte. Os testes realizados revelaram que o Mythos Preview é especialmente eficaz na análise de códigos, apresentando uma precisão técnica notável e um desempenho superior em comparação com modelos anteriores, como o Opus 4.6 e o GPT 5.5. Durante a avaliação, o modelo demonstrou uma capacidade impressionante de identificar candidatos a vulnerabilidades, especialmente quando o código-fonte estava disponível, e se destacou em áreas complexas como análise de código nativo e engenharia reversa.

A Microsoft lançou as atualizações cumulativas KB5094126 e KB5093998 para o Windows 11, abrangendo as versões 25H2, 24H2 e 23H2. Essas atualizações são obrigatórias e incluem correções de vulnerabilidades de segurança, melhorias de desempenho e novas funcionalidades. Entre as principais novidades, destaca-se o recurso de Áudio Compartilhado, que permite que duas pessoas ouçam o mesmo áudio simultaneamente em um único PC, utilizando a tecnologia Bluetooth LE Audio. Além disso, melhorias foram feitas no Gerenciador de Tarefas, que agora oferece melhor visibilidade do uso de NPU (Unidade de Processamento Neural) e na funcionalidade da Câmera, permitindo acesso simultâneo a múltiplos aplicativos. A atualização também traz otimizações para o Windows Hello, melhorando a segurança e a experiência de login. A Microsoft não reportou novas questões relacionadas a esta atualização, indicando um foco em estabilidade e confiabilidade. Para instalar, os usuários podem acessar as configurações do Windows Update ou baixar manualmente do Catálogo de Atualizações da Microsoft.

O Google lançou atualizações de segurança para corrigir 74 vulnerabilidades no Chrome, sendo uma delas, a CVE-2026-11645, de alta severidade, com um CVSS de 8.8. Essa falha, que permite acesso à memória fora dos limites no motor V8 do Chrome, pode ser explorada por atacantes remotos para executar código arbitrário através de páginas HTML manipuladas. O pesquisador que descobriu a vulnerabilidade, identificado como ‘303f06e3’, recebeu uma recompensa de US$ 55.000 pela divulgação responsável. O Google confirmou que a exploração dessa vulnerabilidade já está ocorrendo ativamente. Desde o início do ano, a empresa já tratou cinco vulnerabilidades zero-day no Chrome. Para garantir a proteção, os usuários devem atualizar seus navegadores para as versões 149.0.7827.102/.103 no Windows e macOS, e 149.0.7827.102 no Linux. Além disso, usuários de navegadores baseados em Chromium, como Microsoft Edge e Brave, também devem aplicar as correções assim que disponíveis.

Duas campanhas de ciberataques alinhadas à Rússia continuam a explorar uma vulnerabilidade no WinRAR para atacar organizações ucranianas, quase um ano após a liberação de patches para a falha. A Trend Micro atribui essas atividades aos grupos Earth Dahu e SHADOW-EARTH-066, que utilizam a falha CVE-2025-8088, uma vulnerabilidade de travessia de caminho que permite que atacantes escrevam arquivos fora do diretório de extração. O exploit mais recente envolve arquivos RAR manipulados que contêm um documento PDF de isca e três cargas úteis ocultas. Uma das cargas é um arquivo de atalho do Windows que é executado automaticamente na inicialização do sistema, permitindo que um loader PowerShell seja ativado. O malware resultante, chamado GIFTEDCROOK, visa roubar senhas e cookies de navegadores populares, além de documentos específicos do sistema da vítima. A mudança no canal de exfiltração de dados, que passou do Telegram para servidores dedicados de comando e controle, reflete a adaptação dos grupos de ataque às novas restrições. A Earth Dahu, por sua vez, tem utilizado a vulnerabilidade para manter acesso a longo prazo em organizações comprometidas, utilizando uma cadeia de infecção que envolve scripts VBScript. A prevalência do WinRAR em operações diárias torna essa vulnerabilidade um alvo atraente para exploração, destacando a gravidade das ameaças cibernéticas enfrentadas pela Ucrânia.

A CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) emitiu uma ordem para que agências governamentais dos EUA protejam suas implementações de VPN de Acesso Remoto e Acesso Móvel da Check Point contra uma vulnerabilidade crítica, identificada como CVE-2026-50751. Essa falha de segurança permite que atacantes remotos não autenticados contornem a autenticação e estabeleçam conexões VPN em dispositivos afetados, especialmente aqueles que utilizam o protocolo de troca de chaves IKEv1, que já está obsoleto. A Check Point lançou atualizações de segurança para corrigir essa vulnerabilidade, que foi explorada em ataques que começaram em 7 de maio e aumentaram durante o fim de semana. Embora os ataques tenham afetado apenas algumas dezenas de organizações globalmente, a Check Point associou um dos incidentes ao grupo de ransomware Qilin, que já comprometeu mais de 400 vítimas desde sua aparição em agosto de 2022. A CISA incluiu a CVE-2026-50751 em seu catálogo de Vulnerabilidades Conhecidas e Explotadas, exigindo que as agências federais implementem as correções até 11 de junho. A agência também recomendou que equipes de segurança, incluindo as do setor privado, adotem as atualizações de segurança imediatamente.

Um novo ataque cibernético, denominado FROST, foi desenvolvido por pesquisadores da Universidade de Tecnologia de Graz e pode identificar quais sites um usuário visita e quais aplicativos ele abre, utilizando apenas JavaScript e o tempo de resposta do SSD. O ataque explora uma funcionalidade de armazenamento chamada Origin Private File System (OPFS), introduzida em 2023, que permite que aplicativos web mantenham arquivos no disco sem a necessidade de permissões usuais. Ao criar um arquivo maior que a memória RAM do dispositivo, o FROST consegue contornar o cache do sistema operacional, fazendo com que as leituras acessem diretamente o SSD. Isso permite que o código malicioso meça o tempo de leitura e identifique atividades concorrentes, como a abertura de sites ou aplicativos, com uma precisão alarmante de até 95,83% em testes. Embora a técnica ainda não tenha sido observada em ataques reais, a falta de respostas adequadas por parte dos desenvolvedores de navegadores, como Google e Mozilla, levanta preocupações sobre a privacidade e a segurança dos usuários. Para se proteger, recomenda-se fechar a aba do navegador quando não estiver em uso e monitorar o armazenamento do navegador em busca de arquivos grandes e inexplicáveis.

O Google lançou atualizações de emergência para corrigir uma vulnerabilidade zero-day no Chrome, identificada como CVE-2026-11645, que estava sendo explorada ativamente. Essa é a quinta falha desse tipo corrigida pela empresa em 2023. A vulnerabilidade, que afeta o motor JavaScript V8 do Chrome, permite que atacantes remotos executem código arbitrário através de páginas HTML manipuladas, comprometendo a segurança do navegador. A atualização já está disponível para usuários de Windows, Mac e Linux, embora o Google tenha alertado que a distribuição completa pode levar dias ou semanas. Além disso, a empresa está ciente de outras vulnerabilidades zero-day, como a CVE-2024-0519, mas não forneceu detalhes adicionais sobre ataques relacionados. Desde o início do ano, o Google já corrigiu outras quatro falhas críticas, destacando a necessidade de vigilância constante em relação à segurança do navegador. Os usuários são incentivados a atualizar manualmente ou confiar na atualização automática do Chrome para garantir a proteção contra essas ameaças.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no BerriAI LiteLLM em seu catálogo de Vulnerabilidades Conhecidas (KEV), devido a evidências de exploração ativa. A falha, identificada como CVE-2026-42271, possui uma pontuação CVSS de 8.7 e permite que usuários autenticados executem comandos arbitrários no host. A vulnerabilidade afeta versões específicas do pacote Python LiteLLM, onde dois endpoints de teste aceitam configurações completas do servidor, possibilitando a execução de comandos como subprocessos no host proxy. Os mantenedores do LiteLLM informaram que a segurança dos endpoints dependia apenas de uma chave de API válida, permitindo que qualquer usuário autenticado, incluindo aqueles com privilégios elevados, executasse comandos arbitrários. Para mitigar a falha, foi lançada uma atualização (versão 1.83.7) que exige o papel PROXY_ADMIN para acessar os endpoints. Além disso, uma cadeia de exploração foi identificada, combinando essa vulnerabilidade com outra (CVE-2026-48710), resultando em uma pontuação CVSS crítica de 10.0, permitindo a execução remota de código sem autenticação. Os usuários são aconselhados a atualizar imediatamente suas versões do LiteLLM e Starlette, além de implementar medidas de mitigação se a atualização não for viável.

Pesquisadores de segurança divulgaram um exploit funcional para uma vulnerabilidade de uso após liberação (use-after-free) no kernel Linux, identificada como CVE-2026-23111. Essa falha, localizada no código de filtragem de pacotes nf_tables, permite que um usuário local não privilegiado escale seus privilégios para root e escape de um contêiner. A vulnerabilidade foi corrigida em 5 de fevereiro de 2026, mas o exploit foi publicado publicamente em abril, com uma análise técnica detalhada divulgada em junho. A falha se origina de um erro simples na lógica de verificação do nf_tables e afeta distribuições populares como Ubuntu e Debian. O exploit é ativado em ambientes que utilizam namespaces de usuário não privilegiados, uma funcionalidade comum em desktops e servidores. Embora não haja vetores de ataque remoto, a exploração requer que o atacante já tenha acesso ao sistema. A correção é essencial, especialmente para sistemas que permitem usuários não confiáveis. A situação é preocupante, pois reflete uma tendência crescente de falhas que permitem a escalada de privilégios em sistemas Linux, exigindo atenção redobrada dos administradores de sistemas e profissionais de segurança.

Pesquisadores da Bishop Fox identificaram uma cadeia de três vulnerabilidades no servidor Ubiquiti UniFi OS que permitem a execução remota de código com privilégios de root, sem necessidade de autenticação. As falhas, identificadas como CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, foram corrigidas em maio e afetam versões do UniFi OS Server até 5.0.6. A CVE-2026-34908 refere-se a um controle de acesso inadequado, enquanto a CVE-2026-34909 é uma vulnerabilidade de traversal de caminho que pode expor arquivos do sistema operacional subjacente. A CVE-2026-34910 permite a injeção de comandos, possibilitando que atacantes executem comandos arbitrários. Os pesquisadores demonstraram que, ao explorar essas falhas, é possível contornar a autenticação e acessar serviços internos vulneráveis. Embora os comandos injetados não sejam executados inicialmente como root, a conta de serviço afetada possui privilégios sudo, facilitando a escalada de privilégios. A Bishop Fox disponibilizou um script de detecção gratuito para ajudar as organizações a identificar se suas instâncias estão vulneráveis. É recomendado que os usuários atualizem para a versão 5.0.8 ou superior para mitigar os riscos.

A plataforma Gogs, uma alternativa ao GitHub Enterprise, corrigiu uma vulnerabilidade crítica de injeção de argumentos que poderia permitir que atacantes autenticados acessassem repositórios, incluindo os privados. A falha, que ainda não possui um ID CVE, afeta todas as versões do Gogs até a 0.14.2 e 0.15.0+dev. De acordo com o pesquisador de segurança Jonah Burgess, a configuração padrão do Gogs, que permite registro aberto de usuários e sem limite na criação de repositórios, facilita a exploração da vulnerabilidade. Um atacante autenticado poderia criar uma conta, um repositório e ativar a mesclagem rebase, permitindo a execução de um ataque sem interação de outros usuários. A Gogs lançou a versão 0.14.3 em 7 de junho para corrigir a falha e recomenda que todos os usuários atualizem imediatamente. Para aqueles que não podem aplicar o patch, a Rapid7 sugere medidas de mitigação, como restringir o registro de usuários e a criação de repositórios. A falha é semelhante a outras já corrigidas pela equipe de segurança do Gogs, mas afeta um caminho de código diferente que não havia sido abordado anteriormente.

A Check Point alertou sobre a exploração ativa de uma vulnerabilidade crítica, identificada como CVE-2026-50751, que afeta implementações de VPN de Acesso Remoto e Acesso Móvel configuradas para usar o protocolo de troca de chaves IKEv1, já obsoleto. Com uma pontuação CVSS de 9.3, a falha permite que um atacante remoto não autenticado contorne a autenticação de usuários e estabeleça uma conexão VPN sem a necessidade de uma senha válida. Os produtos afetados incluem várias versões de Security Gateways e Spark Firewalls, com a exploração sendo observada desde 7 de maio de 2026, e um aumento significativo nas atividades de exploração a partir de junho. A Check Point identificou que a infraestrutura do ator de ameaças está explorando outras vulnerabilidades relacionadas a VPNs, e que a atividade se limita a algumas dezenas de organizações globalmente. Além disso, uma segunda vulnerabilidade, CVE-2026-50752, foi descoberta, permitindo ataques do tipo adversário-no-meio em conexões VPN site-a-site, embora não haja evidências de exploração real. A situação requer atenção imediata das organizações afetadas para evitar comprometimentos de segurança.

A empresa israelense de cibersegurança Check Point divulgou atualizações de segurança para corrigir uma falha crítica, identificada como CVE-2026-50751, que afeta implementações de VPN de Acesso Remoto e Acesso Móvel. Essa vulnerabilidade permite que atacantes remotos não autenticados contornem a autenticação em VPNs e firewalls da Check Point, estabelecendo conexões de acesso remoto. A falha impacta apenas as configurações que utilizam o protocolo de troca de chaves IKEv1, que já está obsoleto. Os ataques começaram em 7 de maio e aumentaram em junho, afetando cerca de uma dúzia de organizações globalmente, com um caso relacionado à operação de ransomware Qilin. A Check Point recomenda que os clientes que ainda utilizam o IKEv1 apliquem as atualizações de segurança imediatamente. Além disso, a empresa identificou uma segunda vulnerabilidade, CVE-2026-50752, que afeta a validação de certificados no IKEv1, suscetível a ataques man-in-the-middle, embora ainda não haja evidências de exploração ativa dessa falha. Medidas de mitigação foram sugeridas para aqueles que não podem aplicar os patches imediatamente.

Uma vulnerabilidade crítica (CVE-2026-3300) no plugin Everest Forms Pro está sendo explorada ativamente por hackers, permitindo que eles assumam o controle total de sites WordPress. A falha afeta as versões 1.9.12 e anteriores do plugin, que é amplamente utilizado para criar formulários personalizados. O problema reside na funcionalidade de Cálculo Complexo do plugin, que aceita valores de campos de formulário e os insere em uma string de código PHP, executando-o com a função ’eval()’. Embora a entrada do usuário seja filtrada por ‘sanitize_text_field()’, essa função não escapa caracteres que podem influenciar a sintaxe do PHP, como aspas simples. Isso permite que um invasor feche a string pretendida, injete código PHP arbitrário e comente o restante do código gerado, resultando na execução do código no servidor. Dados do Wordfence indicam que a exploração começou em 13 de abril, com mais de 29.300 tentativas bloqueadas. Os administradores de sites são aconselhados a revisar logs e contas de administrador em busca de atividades suspeitas, especialmente aquelas relacionadas ao nome de usuário ‘diksimarina’. Um patch foi disponibilizado em 18 de março para corrigir a vulnerabilidade.

Recentemente, uma startup de segurança revelou 21 vulnerabilidades desconhecidas no FFmpeg, uma biblioteca de mídia amplamente utilizada, todas descobertas por um agente de IA autônomo. Essas falhas, que incluem estouros de pilha e heap, estavam latentes por até 23 anos. Em paralelo, o Google lançou o Chrome 149, corrigindo um recorde de 429 bugs de segurança, sendo 100 deles de alta severidade. O bug mais crítico, CVE-2026-10881, permite que uma página maliciosa escape da sandbox e execute código no host, resultando em um pagamento de $97.000 ao pesquisador que o descobriu. A pressão para encontrar e corrigir vulnerabilidades aumentou com o uso de IA, que está gerando um volume maior de relatórios. O Google reformulou seu programa de recompensas para lidar com essa avalanche de descobertas, exigindo provas mais concisas. Para mitigar riscos, é crucial que os usuários do FFmpeg atualizem suas versões assim que os patches estiverem disponíveis, especialmente aqueles que lidam com fluxos de mídia não confiáveis. Para o Chrome, a atualização para a versão 149 é essencial para garantir a segurança do navegador.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma falha de segurança de alta gravidade no software de servidor de arquivos multi-protocolo SolarWinds Serv-U em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A vulnerabilidade, identificada como CVE-2026-28318, possui uma pontuação CVSS de 7.5 e é classificada como um bug de negação de serviço (DoS), que pode causar a queda do serviço sob certas condições. Segundo a SolarWinds, a falha é suscetível a requisições POST especialmente elaboradas que podem derrubar o serviço sem necessidade de autenticação, utilizando o cabeçalho Content-Encoding: deflate. A empresa já lançou uma correção na versão 15.5.4 HF1 do Serv-U e recomenda que os usuários limitem o acesso a endereços conhecidos e bloqueiem requisições que contenham “content-encoding”. A CISA ordenou que as agências do governo federal dos EUA resolvam a falha até 19 de junho de 2026. Embora a exploração ativa tenha sido confirmada, não há informações sobre como a vulnerabilidade está sendo utilizada em ataques reais ou quantas instâncias do Serv-U expostas à internet foram comprometidas.

Um pesquisador reverteu a engenharia do SDK da Bright Data, que é embutido em aplicativos de consumo, revelando como ele transforma dispositivos, como TVs inteligentes sempre ligadas, em nós de saída que retransmitem tráfego de web scraping. A Bright Data, sucessora da Luminati, opera a maior rede de proxies residenciais do mundo, com mais de 400 milhões de IPs residenciais. O problema surge quando o tráfego de scraping utiliza a conexão de internet do usuário, em vez da do cliente, o que pode resultar em uso indevido da largura de banda do usuário. O SDK não possui autenticação robusta e, em dispositivos iOS, o tráfego consegue contornar VPNs configuradas. A tela de consentimento apresentada aos usuários não reflete a extensão do uso permitido pelo SDK, que pode consumir até 200 GB de tráfego mensalmente. Embora a Bright Data afirme que os nós de saída são opt-in, a validade desse consentimento é questionável. A pesquisa destaca a necessidade de monitoramento e bloqueio de endereços web associados ao SDK para proteger a rede doméstica. Com a crescente demanda por dados para IA, essa prática levanta preocupações sobre privacidade e segurança, especialmente no contexto da LGPD no Brasil.

A Cisco emitiu um alerta sobre uma vulnerabilidade de alta severidade, identificada como CVE-2026-20245, que afeta o Catalyst SD-WAN Manager. Com uma pontuação CVSS de 7.8, essa falha permite que um atacante autenticado execute comandos arbitrários como root, ao enviar um arquivo malicioso para o sistema afetado. A vulnerabilidade é resultado de uma validação insuficiente de entradas fornecidas pelo usuário, o que pode levar a ataques de injeção de comandos e elevação de privilégios. Para explorar essa falha, o atacante precisa ter privilégios de netadmin, o que requer credenciais válidas ou a exploração de outras vulnerabilidades conhecidas, como CVE-2026-20182 e CVE-2026-20127, ambas já exploradas ativamente. A Cisco não possui patches disponíveis para CVE-2026-20245, mas recomenda que os clientes atualizem seu software SD-WAN para corrigir as falhas anteriores. A empresa também alertou que sistemas expostos à internet estão em risco elevado de comprometimento e sugere que os usuários verifiquem logs específicos em busca de indicadores de comprometimento. Essa é a sétima vulnerabilidade crítica identificada na plataforma SD-WAN da Cisco em 2026, destacando a necessidade urgente de atenção e ação por parte das organizações que utilizam essas tecnologias.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre a exploração ativa de uma vulnerabilidade crítica no software Serv-U da SolarWinds, que foi recentemente corrigida. A falha, identificada como CVE-2026-28318, permite que atacantes remotos provoquem a queda do serviço sem necessidade de autenticação, utilizando requisições POST especialmente elaboradas. A SolarWinds lançou um patch para corrigir essa vulnerabilidade, mas a CISA observou que a exploração já está ocorrendo na prática, levando a agência a incluir a falha em seu Catálogo de Vulnerabilidades Conhecidas. Administradores que não puderem aplicar a correção imediatamente são aconselhados a restringir o acesso a endereços conhecidos e bloquear requisições POST que contenham “content-encoding”. Atualmente, mais de 12.000 servidores Serv-U estão expostos online, o que representa um risco significativo, especialmente considerando que grupos de cibercrime têm historicamente explorado falhas nesse software para roubar dados sensíveis. A CISA enfatiza a necessidade de que todas as organizações, incluindo o setor privado, tomem medidas para proteger suas redes contra esses ataques.

Uma falha de segurança crítica foi identificada no plugin Everest Forms Pro, utilizado em sites WordPress, afetando cerca de 4.000 instalações ativas. A vulnerabilidade, classificada como CVE-2026-3300, possui uma pontuação CVSS de 9.8 e permite a execução remota de código, resultando na possibilidade de comprometimento total do site. O problema reside na função process_filter() do addon de Cálculo, que concatena valores de campos de formulário submetidos pelo usuário em uma string de código PHP sem a devida sanitização, permitindo que atacantes não autenticados injetem e executem código PHP arbitrário. Desde o início das tentativas de exploração em 13 de abril de 2026, mais de 29.300 tentativas de ataque foram bloqueadas, com um padrão comum de criação de contas de administrador maliciosas. Além disso, a Sansec alertou sobre campanhas de skimmer que utilizam Stripe como servidor de comando e controle, aproveitando-se da reputação da marca para evitar detecções. Essas campanhas têm como alvo páginas de checkout de plataformas como Magento e Adobe Commerce, extraindo dados financeiros de usuários desavisados. A combinação dessas vulnerabilidades e ataques representa um risco significativo para a segurança de sites e dados de clientes.

Na última quinta-feira, a Cisco emitiu um alerta sobre uma vulnerabilidade crítica, classificada como zero-day, no Cisco Catalyst SD-WAN Manager, identificada como CVE-2026-20245. Essa falha, que ainda não possui correção, permite a escalada de privilégios para usuários com permissões limitadas, possibilitando a execução de comandos arbitrários como root. A vulnerabilidade afeta todos os tipos de implantação, incluindo soluções on-premises e na nuvem. A Cisco informou que a exploração dessa falha requer que o atacante tenha privilégios de netadmin, o que pode ser obtido através de credenciais válidas ou pela exploração de outras vulnerabilidades conhecidas. A empresa também observou tentativas limitadas de exploração que resultaram em alterações de configuração em dispositivos de borda. Além disso, a Cisco já havia identificado outras falhas críticas em seu SD-WAN Manager, algumas das quais também estão sendo ativamente exploradas. A recomendação é que os administradores verifiquem os logs do sistema para identificar possíveis tentativas de exploração e que abram um chamado com o suporte técnico da Cisco para assistência.

Na quarta-feira, a Microsoft anunciou a correção de um problema que permitiu que alguns dispositivos Windows instalassem atualizações de drivers sem aviso, apesar de políticas configuradas para impedir atualizações automáticas. De acordo com um relatório de incidente do centro de administração (MO1332784), a empresa atribuiu a falha a uma má configuração no serviço de cache do Windows Update, que temporariamente descartou informações de registro de dispositivos. Isso fez com que alguns dispositivos fossem tratados como não registrados, impedindo a aplicação correta dos controles de aprovação de drivers. A equipe de suporte do Intune também reconheceu o problema nas redes sociais, afirmando que estava trabalhando ativamente para mitigá-lo. A Microsoft garantiu que os drivers instalados eram aprovados e não representavam uma ameaça à segurança. Após a atualização do cache do serviço afetado e a confirmação de que o problema foi resolvido, a empresa continua a investigar a causa da falha para evitar recorrências. Embora a Microsoft não tenha divulgado quantas regiões ou clientes foram afetados, administradores de Windows relataram que dezenas de milhares de dispositivos receberam atualizações inesperadas, causando problemas em dispositivos de áudio e vídeo.

Um tópico em um fórum intitulado “Hacking for Profit. Working method” revela como comunidades underground compartilham informações sobre exploração de vulnerabilidades e técnicas de hacking. O autor, conhecido como “Hercules”, apresenta um guia prático que descompõe o processo de identificação e monetização de vulnerabilidades em etapas claras. O tutorial aborda desde a busca por vulnerabilidades recém-divulgadas, como execução remota de código e vazamento de dados, até a validação de sistemas expostos e a decisão sobre a exploração ou divulgação das falhas.

O cenário de cibersegurança continua a apresentar desafios significativos, com a recente divulgação de uma vulnerabilidade crítica no Cisco Unified Communications Manager (CVE-2026-20230), que permite ataques de Server-Side Request Forgery (SSRF) por atacantes remotos não autenticados. A Cisco já lançou patches para mitigar essa falha, que pode permitir a execução de comandos maliciosos no sistema operacional subjacente. Além disso, a Rússia revelou uma operação em larga escala de espionagem, onde serviços de inteligência estrangeiros implantaram spyware em dispositivos móveis de altos oficiais, visando a exfiltração de dados sensíveis.

Um pesquisador de segurança descobriu uma falha no Claude Code, uma ação do GitHub desenvolvida pela Anthropic, que permitia a um atacante assumir repositórios públicos vulneráveis apenas com a abertura de uma única issue no GitHub. A falha foi reportada em janeiro e corrigida em quatro dias, com a versão segura sendo a claude-code-action v1.0.94. A vulnerabilidade foi classificada com um score de 7.8 no CVSS v4.0 e resultou em um pagamento de recompensa por bugs. O problema estava na verificação de gatilho da ação, que permitia que qualquer ator cujo nome terminasse em [bot] acionasse a ação, assumindo que aplicativos do GitHub são confiáveis. Isso possibilitou que um atacante injetasse comandos maliciosos que poderiam expor variáveis de ambiente e credenciais sensíveis. Além disso, a configuração padrão da ação permitia que usuários sem acesso de escrita a acionassem, aumentando o risco. A situação é crítica, pois um ataque semelhante já resultou na exploração de um token de publicação npm em outro repositório. A recomendação é atualizar para a versão corrigida e auditar fluxos de trabalho que permitam entradas não confiáveis.

A Cisco lançou um patch para uma vulnerabilidade crítica no Unified Communications Manager (UCM), identificada como CVE-2026-20230. Essa falha permite que um atacante não autenticado na rede escreva arquivos no sistema, possibilitando a escalada de privilégios até o nível root. O problema é classificado como uma ‘server-side request forgery’ (SSRF), onde requisições HTTP malformadas podem ser utilizadas para comprometer a integridade do sistema. Embora a Cisco não tenha registrado ataques explorando essa vulnerabilidade até o momento, a disponibilidade de um código de prova de conceito (PoC) aumenta a preocupação com possíveis explorações. A falha só se manifesta quando o serviço WebDialer está ativo, o que não é o padrão, mas organizações que o ativaram estão em risco. A correção para a versão 14 do UCM está disponível, enquanto a atualização completa para a versão 15 está prevista para setembro de 2026. A situação é alarmante, considerando que o UCM já foi alvo de outras vulnerabilidades críticas no passado, como a presença de uma conta SSH root hard-coded.

A Cisco divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica no Cisco Unified Communications Manager (Unified CM), que permite que atacantes obtenham privilégios de root. A falha, identificada como CVE-2026-20230, pode ser explorada remotamente por meio de ataques de Server-Side Request Forgery (SSRF) de baixa complexidade, sem a necessidade de privilégios. Um atacante pode enviar uma solicitação HTTP manipulada para um dispositivo afetado, possibilitando a escrita de arquivos no sistema operacional subjacente, o que pode ser usado para elevar privilégios a root.

O Redis, popular banco de dados em memória, corrigiu uma vulnerabilidade crítica, identificada como CVE-2026-23479, que permitia a usuários autenticados executar comandos arbitrários no sistema operacional do servidor. A falha, descoberta por uma ferramenta de IA, estava presente desde a versão 7.2.0 e afetou todas as versões estáveis até a correção em 5 de maio de 2026. A NVD avaliou a gravidade da vulnerabilidade em 8.8 no CVSS 3.1, enquanto o Redis a classificou como 7.7 no CVSS 4.0. A exploração da falha requer uma sessão autenticada, mas muitos ambientes de nuvem executam o Redis sem senha, aumentando o risco. O ataque envolve manipulação de memória, onde um ponteiro de função é sobrescrito, permitindo que comandos do sistema sejam executados. O Redis recomenda que os usuários atualizem para as versões corrigidas e adotem medidas de segurança, como restringir acessos e manter o Redis fora da internet pública. Apesar da gravidade, não há evidências de exploração ativa até o momento.

Uma falha de segurança descoberta em vários aplicativos Android do Microsoft 365, chamada de FlagLeft, permitiu que aplicativos não confiáveis no mesmo dispositivo solicitassem tokens de conta de usuários autenticados. Isso significa que um aplicativo malicioso poderia acessar e-mails, arquivos, calendários e enviar mensagens em nome do usuário sem necessidade de senha ou autorização. A falha foi identificada por pesquisadores da Enclave e afetou aplicativos amplamente utilizados, como Word, PowerPoint, Excel, Microsoft 365 Copilot, Loop e OneNote. A vulnerabilidade foi corrigida pela Microsoft, que lançou atualizações para os aplicativos, mas os tokens comprometidos podem permanecer válidos mesmo após a atualização. Portanto, é recomendável que os usuários revoguem os tokens de atualização e façam um novo login. A Microsoft emitiu quatro CVEs relacionados a essa falha, com classificações de severidade variando de 4.4 a 7.7, indicando um risco significativo para os usuários que não atualizarem seus aplicativos. A atualização é essencial para mitigar o risco de exploração dessa vulnerabilidade.

Um estudo recente revelou uma vulnerabilidade crítica no assistente de voz Google Gemini, que pode ser explorada através de notificações maliciosas enviadas por aplicativos como WhatsApp, Slack e Instagram. A pesquisa, conduzida pela SafeBreach, demonstrou que um único aviso envenenado poderia permitir que um invasor assumisse o controle do assistente, abrindo janelas conectadas, enviando mensagens falsas em nome de contatos e até mesmo iniciando chamadas de vídeo no Zoom. O ataque, denominado ‘Fake Context Alignment’, utiliza técnicas de injeção de comandos que enganam o assistente ao interpretar notificações hostis como instruções legítimas. Embora o Google tenha corrigido a falha, a vulnerabilidade destaca a necessidade de vigilância contínua em dispositivos Android, onde o Gemini possui acesso a notificações. A pesquisa não encontrou evidências de que a técnica tenha sido utilizada em ataques reais, mas a possibilidade de controle remoto de dispositivos inteligentes e a persistência de informações envenenadas representam riscos significativos para a segurança dos usuários. Os usuários podem mitigar o risco desativando a leitura de notificações pelo assistente, mas a questão da segurança em assistentes de voz continua a ser uma preocupação crescente.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu um alerta sobre hackers que estão explorando vulnerabilidades no kernel do Linux e no sistema operacional Android. A mais recente falha, identificada como CVE-2025-48595, é uma vulnerabilidade de estouro de inteiro de alta severidade no Android Framework, que pode ser utilizada para obter privilégios elevados. Essa falha afeta as versões do Android 14 a 16 e não requer interação do usuário para ser explorada. Embora o Google tenha indicado que a exploração dessa vulnerabilidade pode estar ocorrendo de forma limitada, não foram fornecidos detalhes específicos sobre as atividades ou informações técnicas sobre a falha. O problema foi corrigido com a liberação de patches de segurança em junho de 2026.

A Acer confirmou a existência de duas vulnerabilidades de alta severidade, conhecidas como zero-day, que afetam seus roteadores mesh Wave 7. As falhas foram reportadas pelo pesquisador de segurança Gergo Pap e impactam roteadores que utilizam a versão de firmware T7c_GBL_1.01.000055 ou anterior. A primeira vulnerabilidade, identificada como CVE-2026-49200, permite que atacantes não autenticados acessem remotamente credenciais em texto claro armazenadas em arquivos de log, como o acer_cgi.log, que contém informações sensíveis de login. A segunda falha, CVE-2026-49201, resulta de uma chave criptográfica embutida que possibilita o acesso persistente de invasores ao sistema, permitindo que eles modifiquem backups do dispositivo. Embora a Acer esteja trabalhando em correções, ainda não há patches disponíveis. A empresa recomenda que os usuários desativem a gestão remota e restrinjam o acesso à Internet até que as atualizações sejam lançadas, previstas para o final de junho de 2026.

Em abril, uma vulnerabilidade em uma VPN resultou em vazamentos de dados em mais de setenta instituições financeiras que utilizam a infraestrutura do software Marquis. Apesar de existir um patch e as instituições terem realizado testes de penetração recentes, a exposição de dados não foi evitada. O relatório Mandiant M-Trends 2026 aponta que o tempo médio de permanência de ameaças em 2025 foi de quatorze dias, com atores de espionagem permanecendo em média 122 dias. A CrowdStrike também destacou que os serviços financeiros estão entre os setores mais visados por intrusões. As regulamentações, como PCI DSS e NYDFS, enfatizam a necessidade de testes de penetração contínuos, não apenas anuais, para lidar com as mudanças frequentes na infraestrutura digital. Um exemplo alarmante foi a descoberta de uma falha em um portal de originação de hipotecas, onde dados de várias instituições eram acessíveis sem autenticação. Essa situação ilustra a necessidade urgente de um modelo de testes contínuos, que responda rapidamente às mudanças na infraestrutura, em vez de esperar por avaliações anuais. A falta de validação durante a maior parte do ano expõe as instituições a riscos significativos, tornando essencial a adoção de práticas de segurança mais dinâmicas e responsivas.

Pesquisadores de cibersegurança identificaram uma nova vulnerabilidade chamada HTTP/2 Bomb, que afeta servidores web amplamente utilizados, como NGINX, Apache HTTPD, Microsoft IIS, Envoy e Cloudflare Pingora. Essa falha permite um ataque de negação de serviço (DoS) remoto, explorando a configuração padrão do HTTP/2. A vulnerabilidade foi descoberta pela Calif, que explicou que o ataque combina duas técnicas conhecidas: uma bomba de compressão e uma técnica de manutenção de conexão semelhante ao Slowloris. O ataque visa o HPACK, o esquema de compressão de cabeçalhos do HTTP/2, onde um único byte pode resultar em uma alocação de cabeçalho completa no servidor, repetida milhares de vezes. Isso pode levar a um consumo excessivo de memória do servidor, tornando-o inacessível rapidamente. Para mitigar a vulnerabilidade, recomenda-se que os usuários do NGINX atualizem para a versão 1.29.8 ou desativem o HTTP/2, enquanto os usuários do Apache HTTPD devem atualizar para a versão 2.0.41 ou desativar o HTTP/2. No entanto, não há patches disponíveis para Microsoft IIS, Envoy e Cloudflare Pingora até o momento.

Pesquisadores em cibersegurança revelaram uma vulnerabilidade não corrigida que pode permitir que atacantes obtenham o hash NTLMv2 de um usuário. O problema, relacionado ao manipulador de URI ‘search:’, é semelhante ao CVE-2026-33829, que afetou a ferramenta Snipping Tool da Microsoft. A vulnerabilidade permite que um invasor induza o usuário a clicar em um link malicioso, que, se aprovado, conecta o computador a um servidor SMB controlado pelo atacante, expondo o hash NTLMv2 do usuário. A Microsoft já havia corrigido uma falha semelhante em abril de 2026, mas optou por não abordar essa nova questão, alegando que apenas casos de severidade ‘Importante’ e ‘Crítico’ são priorizados. Sem uma correção disponível, recomenda-se bloquear o tráfego SMB em hosts desnecessários, aplicar assinatura SMB e desativar o NTLM quando possível. Essa situação representa um risco significativo, pois o hash capturado pode ser utilizado em ataques de retransmissão, permitindo acesso não autorizado a redes.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica no Microsoft Visual Studio Code (VS Code) que permite a um atacante roubar tokens do GitHub com um simples clique. O problema está relacionado ao uso do GitHub.dev, um editor de código leve que opera no navegador, que utiliza um token OAuth para interagir com repositórios do GitHub. A vulnerabilidade permite que extensões maliciosas sejam instaladas sem a necessidade de confirmação do usuário, explorando um mecanismo de passagem de mensagens entre a janela principal do VS Code e as webviews. Isso possibilita a execução de JavaScript malicioso que simula pressionamentos de tecla, permitindo a instalação de uma extensão controlada pelo atacante que extrai o token OAuth e consulta a API do GitHub para acessar repositórios privados. A Microsoft foi notificada sobre a vulnerabilidade em 2 de junho de 2026 e está trabalhando em uma correção, embora tenha esclarecido que o problema não afeta a versão desktop do VS Code.

Um pesquisador de segurança divulgou um código de exploração para uma vulnerabilidade zero-day no Visual Studio Code (VS Code), que permite que atacantes roubem tokens de autenticação do GitHub ao induzir usuários a clicarem em links maliciosos. Essa falha, que ainda não possui um patch oficial, permite que extensões maliciosas sejam instaladas, explorando o sistema de mensagens do webview do VS Code. O pesquisador Ammar Askar explicou que, ao interagir com github.dev, um token OAuth é enviado, permitindo acesso total a todos os repositórios privados do usuário. Para se proteger, os usuários devem limpar cookies e dados do site para github.dev em seus navegadores, o que gerará um aviso ao tentar acessar links potencialmente perigosos. Askar optou pela divulgação pública imediata após experiências negativas com o processo de resposta de segurança da Microsoft, que não reconheceu falhas anteriores. Essa vulnerabilidade se junta a uma série de zero-days divulgados por outro pesquisador anônimo, conhecido como Nightmare Eclipse, que criticou a forma como a Microsoft lida com a divulgação de falhas. A Microsoft ainda não comentou sobre a vulnerabilidade do VS Code.

Uma vulnerabilidade crítica de escalonamento de privilégios, identificada como CVE-2026-8206, foi descoberta no plugin Kirki para WordPress, permitindo que hackers assumam qualquer conta de usuário, incluindo as de administradores. A falha, que afeta versões do plugin até a 6.0.6, foi introduzida na versão 6.0.0 e impacta cerca de 40% da base de usuários do plugin, que está ativo em mais de 500 mil sites. A vulnerabilidade se origina da exposição de um endpoint da API REST para redefinição de senhas, onde o plugin aceita um endereço de e-mail arbitrário durante as solicitações de redefinição. Isso permite que atacantes não autenticados gerem links de redefinição de senha para qualquer usuário registrado, enviando-os para e-mails sob seu controle. A empresa de segurança Wordfence bloqueou mais de 222 tentativas de exploração em apenas 24 horas. A correção foi disponibilizada na versão 6.0.7, lançada em 18 de maio de 2026, e é crucial que os administradores de sites atualizem o plugin ou o desativem para evitar comprometimentos. A vulnerabilidade representa um risco significativo, pois, uma vez que um atacante obtenha acesso administrativo, ele pode instalar plugins maliciosos, modificar conteúdos do site e acessar bancos de dados privados.

No início de junho de 2026, o Google lançou patches para 124 vulnerabilidades de segurança no sistema operacional Android, destacando uma falha de alta severidade, identificada como CVE-2025-48595, com um escore CVSS de 8.4. Essa vulnerabilidade, que permite a escalada de privilégios sem interação do usuário, afeta dispositivos que executam as versões 14, 15, 16 e 16 QPR2 do Android. Segundo a descrição da falha, um estouro de inteiro em múltiplos locais pode possibilitar a execução de código, resultando em uma escalada local de privilégios. O Google indicou que há sinais de exploração ativa, embora não tenha fornecido detalhes sobre os responsáveis ou os alvos. Além disso, outras vulnerabilidades foram corrigidas no componente do sistema, algumas das quais também podem levar a escaladas de privilégios. O Google disponibilizou dois conjuntos de patches, com o segundo incluindo correções para componentes de kernel e chipsets de terceiros, como MediaTek e Qualcomm. A situação exige atenção, especialmente considerando que falhas semelhantes têm sido utilizadas por fornecedores de spyware comercial para atacar indivíduos de alto perfil.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu uma vulnerabilidade de alta severidade no Oracle WebLogic Server em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). Identificada como CVE-2024-21182, essa falha possui um escore CVSS de 7.5 e permite que atacantes não autenticados, com acesso à rede, assumam o controle de servidores vulneráveis. A CISA alertou que ataques bem-sucedidos podem resultar em acesso não autorizado a dados críticos. Embora não haja relatos públicos sobre a exploração ativa dessa vulnerabilidade, falhas anteriores no WebLogic foram frequentemente utilizadas para formar botnets, minerar criptomoedas e implantar ransomware. A Oracle lançou um patch para corrigir essa vulnerabilidade em julho de 2024. Diante da exploração ativa, a CISA recomenda que as agências do governo federal dos EUA apliquem as correções necessárias até 4 de junho de 2026 para proteger suas redes.

O Google divulgou em junho de 2026 atualizações de segurança para o Android, abordando 124 vulnerabilidades, incluindo uma falha zero-day (CVE-2025-48595) que está sendo explorada em ataques direcionados. Essa vulnerabilidade de alta severidade permite que atacantes locais executem código e elevem privilégios em dispositivos que rodam Android 14 ou versões posteriores. O Google alertou que a exploração dessa falha pode estar em andamento, embora detalhes técnicos ainda não tenham sido divulgados. Além disso, foram corrigidas 18 vulnerabilidades críticas em componentes do sistema e do framework, que poderiam ser utilizadas para causar negação de serviço e elevação de privilégios. As atualizações de segurança foram lançadas em dois pacotes, com dispositivos Google Pixel recebendo as correções imediatamente, enquanto outros fabricantes podem demorar mais para implementá-las. O Google também revisou seus programas de recompensas por vulnerabilidades, oferecendo até US$ 1,5 milhão por exploits do Android, enquanto reduziu os pagamentos para falhas mais fáceis de serem descobertas com inteligência artificial. A empresa não forneceu mais informações sobre os ataques relacionados à CVE-2025-48595.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) emitiu uma ordem para que agências governamentais reforcem a segurança de seus sistemas contra uma vulnerabilidade crítica no Oracle WebLogic Server, identificada como CVE-2024-21182. Essa falha, que foi corrigida há dois anos, está sendo ativamente explorada em ataques cibernéticos. O Oracle WebLogic Server é um servidor de aplicações Java utilizado em grandes aplicações distribuídas. A vulnerabilidade permite que atacantes não autenticados comprometam o servidor remotamente, podendo resultar em acesso não autorizado a dados críticos. Atualmente, mais de 1.592 servidores WebLogic estão expostos online e vulneráveis a essa falha. A CISA recomendou que, além das agências federais, todas as organizações, incluindo o setor privado, apliquem os patches de segurança o mais rápido possível. A vulnerabilidade é considerada um vetor de ataque comum e representa riscos significativos para a segurança das informações. A CISA também destacou a importância de seguir as orientações do fornecedor e, se necessário, descontinuar o uso do produto até que as correções sejam aplicadas.

O artigo destaca como a gestão de vulnerabilidades está se tornando cada vez mais desafiadora devido à rápida evolução da exploração impulsionada por inteligência artificial (IA). O tempo entre a divulgação de uma vulnerabilidade e sua exploração efetiva na internet agora é medido em horas, não mais em dias. Embora a solução tradicional tenha sido acelerar o processo de patching, isso não é viável para muitas empresas devido a requisitos de estabilidade e conformidade. O aumento no número de vulnerabilidades, como evidenciado pelo Projeto Glasswing da Anthropic, que identificou mais de 10.000 vulnerabilidades críticas em um único mês, ilustra a necessidade de uma nova abordagem. O artigo sugere um modelo operacional que prioriza a prevenção, validação e mitigação, propondo três etapas: identificar vulnerabilidades mais prováveis de serem exploradas, reagir rapidamente a ameaças emergentes e implementar medidas de mitigação para ganhar tempo para remediação eficaz. A plataforma watchTowr é apresentada como uma solução que ajuda as organizações a se adaptarem a essa nova realidade, permitindo uma resposta mais ágil e eficaz às ameaças.

O Centro de Cibersegurança da Bélgica (CCB) alertou que atacantes estão explorando ativamente uma vulnerabilidade crítica no Windows Netlogon, identificada como CVE-2026-41089. Essa falha, que foi corrigida pela Microsoft em maio de 2026, permite que invasores não privilegiados executem código remotamente em controladores de domínio do Windows. O Netlogon é um serviço essencial que autentica usuários e serviços em redes baseadas em domínio. A vulnerabilidade é classificada com um CVSS de 9.8, indicando seu alto potencial de impacto. O CCB recomendou que administradores de sistemas realizem a atualização imediata de seus servidores vulneráveis. Embora a Microsoft tenha identificado a falha, ainda não há informações detalhadas sobre os ataques em andamento. Além disso, a empresa enfrenta desafios com outras vulnerabilidades zero-day, como a YellowKey e a BlueHammer, que também estão sendo exploradas. O alerta do CCB destaca a urgência de ações corretivas para mitigar riscos de segurança em ambientes corporativos.

Um artigo recente destaca uma vulnerabilidade crítica de execução remota de código (RCE) em um aplicativo VPN amplamente utilizado, que não foi detectada a tempo por serviços de alerta de vulnerabilidades. Em menos de 24 horas, atacantes exploraram essa falha, obtendo acesso à rede da empresa, o que foi finalmente identificado por ferramentas internas de monitoramento. O tempo é um fator crucial em cibersegurança, com um aumento de 67% nas novas vulnerabilidades entre 2023 e 2025 e uma redução no tempo médio para exploração de 4,2 meses para apenas 1,6 dias. Isso evidencia a necessidade urgente de um serviço de alerta de vulnerabilidades que forneça orientações de remediação imediatas. O SecAlerts, uma plataforma que oferece alertas instantâneos sobre vulnerabilidades, promete ajudar as empresas a se manterem à frente das ameaças, permitindo que respondam rapidamente antes que as falhas sejam exploradas. A ferramenta é acessível e pode ser utilizada por empresas de todos os tamanhos, oferecendo uma linha de defesa robusta contra ameaças cibernéticas.

Uma vulnerabilidade crítica, identificada como CVE-2026-8732, afeta o plugin WP Maps Pro, utilizado em mais de 15.000 sites WordPress. Este problema de escalonamento de privilégios permite que atacantes não autenticados criem contas de administrador, possibilitando o controle total do site. A falha está relacionada a uma funcionalidade de ‘acesso temporário’ destinada ao suporte técnico, que não possui verificações adequadas de autenticação. A exploração dessa vulnerabilidade foi confirmada, com a Wordfence reportando 2.858 tentativas de ataque em apenas 24 horas. A versão 6.1.1 do plugin já corrige a falha, e é crucial que os proprietários de sites atualizem suas instalações para evitar comprometimentos. A vulnerabilidade possui uma pontuação CVSS de 9.8, indicando seu alto risco. Portanto, a atualização imediata é essencial para garantir a segurança dos sites afetados.

Recentemente, o cenário de cibersegurança tem sido marcado por vulnerabilidades críticas e incidentes ativos que exigem atenção imediata. Um dos destaques é a falha de autenticação no PAN-OS da Palo Alto Networks, identificada como CVE-2026-0257, que está sendo explorada ativamente, permitindo que invasores estabeleçam conexões VPN indevidas. Além disso, a plataforma de Git Gogs enfrenta uma vulnerabilidade zero-day que possibilita a execução remota de código, expondo servidores a ataques severos. A situação é agravada pelo uso crescente de inteligência artificial em campanhas de ciberataques, como demonstrado pelo grupo GREYVIBE, que utiliza modelos de linguagem para realizar ataques direcionados na Ucrânia. A CERT-In, agência de cibersegurança da Índia, alertou sobre a necessidade de corrigir falhas exploradas em um prazo de 12 horas, destacando a velocidade com que as ameaças estão evoluindo. A combinação de falhas críticas, exploração ativa e o uso de AI em ataques torna imperativo que as organizações adotem medidas proativas para proteger seus sistemas.

A ExpressVPN anunciou os resultados de sua 27ª auditoria independente realizada pela Cure53, uma empresa de cibersegurança. Os novos produtos auditados, ExpressMailGuard e Identity Defender, não apresentaram vulnerabilidades significativas, mas foram identificadas áreas que requerem atenção. A auditoria, que durou até 18 dias, revelou 11 preocupações para o Identity Defender, sendo sete classificadas como vulnerabilidades de média gravidade. Entre essas, destacam-se problemas relacionados ao armazenamento de dados não criptografados, que podem facilitar a triangulação de informações por hackers. Para o ExpressMailGuard, foram encontrados 13 problemas, dos quais apenas dois eram vulnerabilidades diretas, incluindo o processamento incorreto de dados de endereços de e-mail, que poderia permitir a falsificação de e-mails. A Cure53 recomendou que a ExpressVPN abordasse essas questões prontamente e realizasse testes regulares para identificar novos riscos. A empresa, que já passou por auditorias desde 2018, reafirma seu compromisso com a segurança e a transparência, enfatizando que a confiança deve ser conquistada e não presumida.

Hackers estão explorando uma vulnerabilidade crítica no plugin WP Maps Pro, que permite a criação de contas de administrador sem autenticação. A falha, identificada como CVE-2026-8732, afeta versões 6.1.0 e anteriores do plugin, que é amplamente utilizado para criar mapas interativos em sites de negócios, imobiliárias e turismo. A vulnerabilidade foi descoberta pelo pesquisador de segurança David Brown e se deve a uma funcionalidade de ‘acesso temporário’ que deveria permitir suporte técnico, mas que foi mal implementada, permitindo acesso não autenticado. Isso possibilita que atacantes enviem requisições manipuladas para criar novos usuários com privilégios de administrador, gerando URLs de login sem senha. A empresa de segurança Wordfence já bloqueou mais de 3.600 tentativas de exploração em um único dia. A versão 6.1.1 do WP Maps Pro foi lançada em 20 de maio de 2026, corrigindo a falha. Administradores de sites são aconselhados a atualizar seus plugins imediatamente, dado o aumento da atividade maliciosa.

A Palo Alto Networks emitiu um alerta sobre a exploração de uma falha de bypass de autenticação no GlobalProtect, identificada como CVE-2026-0257. Essa vulnerabilidade permite que atacantes estabeleçam conexões VPN não autorizadas em dispositivos que não foram atualizados. Inicialmente classificada como de gravidade média, a falha teve sua classificação elevada para alta após a empresa identificar tentativas de exploração ativas em dispositivos não corrigidos. A Rapid7 também relatou que a exploração começou em 17 de maio de 2026, com hackers utilizando cookies de autenticação forjados para acessar contas de administrador local. Embora alguns atacantes tenham conseguido conectar-se via VPN, muitos não conseguiram estabelecer uma sessão VPN completa. A falha decorre da validação inadequada dos cookies de autenticação pelo PAN-OS, que não realiza verificação de assinatura. Organizações que utilizam dispositivos GlobalProtect devem aplicar imediatamente as atualizações de segurança disponíveis e considerar desativar a função de override de autenticação para mitigar o risco.